CVE-2026-109173 in yshop-crm
Zusammenfassung
von VulDB • 12.10.2026
yshop-crm bis Version 2.1.3 enthält eine Schwachstelle für fehlende Autorisierung (Missing Authorization), die jedem authentifizierten Back-Office-Benutzer ermöglicht, Rechnungen über POST /admin-api/crm/invoice/check zu genehmigen oder abzulehnen. Der Check-Handler von CrmInvoiceController verfügt nicht über @PreAuthorize, und die Genehmigerprüfungen sind auskommentiert, sodass Angreifer den Rechnungs-Genehmigungsworkflow umgehen können, indem sie eine beliebige Rechnungs-ID angeben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.