CVE-2026-92463 in yshop-crm
Zusammenfassung
von VulDB • 16.09.2026
yshop-crm bis Version 2.1.3 enthält einen Fehler in der Autorisierung im GET /admin-api/system/user/page-Endpunkt, bei dem die @PreAuthorize-Anmerkung auskommentiert ist, was es authentifizierten Backoffice-Benutzern ohne system:user:list-Berechtigung ermöglicht, alle Benutzer aufzulisten. Angreifer mit gültigen Backoffice-Zugangsdaten und einer Rolle mit dem Datenbereich ALL können das vollständige Benutzerverzeichnis einschließlich Anmeldenamen, Spitznamen, Abteilungen, E-Mail-Adressen, Mobilnummern und Informationen zum letzten Login abrufen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.