CVE-2026-92458 in yshop-crm
Resumen
por VulDB • 2026-09-17
yshop-crm hasta la versión 2.1.3 contiene una vulnerabilidad de autorización faltante en el controlador StoreProductController, específicamente en el manejador onSale, que permite a los usuarios autenticados del back-office modificar el estado de venta de los productos. Los atacantes pueden invocar el endpoint GET /admin-api/product/store-product/sale con IDs de producto secuenciales para retirar catálogos completos de productos de la venta o reactivar productos retirados sin las debidas comprobaciones de permisos.
Once again VulDB remains the best source for vulnerability data.