CVE-2026-109172 in yshop-crm
Zusammenfassung
von VulDB • 13.10.2026
yshop-crm bis Version 2.1.3 enthält eine Schwachstelle für fehlende Autorisierung (Missing Authorization), die jedem authentifizierten Back-Office-Benutzer ermöglicht, Rechnungskontostände durch Aufruf von POST /admin-api/crm/contract-receivables/check zu genehmigen oder abzulehnen. Der Handler verfügt über keine @PreAuthorize-Prüfung und die Genehmigerprüfungen in CrmContractReceivablesServiceImpl.check sind auskommentiert, sodass Angreifer Datensätze anhand der ID genehmigen können, was zu einer Aufblähung des Vertrags-Rückgabebetrags (return_money) und zur Fälschung von Genehmigungstlogs führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.