CVE-2026-92460 in yshop-crm
Zusammenfassung
von VulDB • 16.09.2026
yshop-crm fino alla versione 2.1.3 non applica i controlli di autorizzazione sull'endpoint GET /admin-api/crm/operatelog/page, consentendo a qualsiasi utente back-office autenticato di accedere al registro delle attività (audit trail) dell'intera installazione. Gli attaccanti possono interrogare il log delle operazioni per recuperare nomi degli operatori, nickname visualizzati, indirizzi IP dei client, stringhe User-Agent, URL delle richieste, dettagli delle azioni e identificatori dei clienti senza opportuni controlli sui permessi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.