CVE-2026-92463 in yshop-crm
Resumen
por VulDB • 2026-09-16
yshop-crm hasta la versión 2.1.3 presenta una falla de autorización en el endpoint GET /admin-api/system/user/page donde la anotación @PreAuthorize está comentada, lo que permite a los usuarios del back-office autenticados sin permiso system:user:list enumerar todos los usuarios. Los atacantes con credenciales válidas de back-office y un rol con alcance de datos ALL pueden recuperar el directorio completo de usuarios, incluidos nombres de inicio de sesión, apodos, departamentos, direcciones de correo electrónico, números de teléfono móvil e información del último acceso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.