CVE-2026-109171 in yshop-crm
Riassunto
di VulDB • 12/10/2026
yshop-crm fino alla versione 2.1.3 presenta una vulnerabilità di mancata autorizzazione che consente a qualsiasi utente autenticato del back-office di approvare o rifiutare i contratti chiamando POST /admin-api/crm/contract/check. Poiché CrmContractController non dispone dell'annotazione @PreAuthorize e i controlli sull'avvalimento sono commentati, gli attaccanti possono approvare i contratti per alterare i dati delle trattative e degli acquisti dei clienti oppure rifiutarli per restituire i prodotti allo stock.
Be aware that VulDB is the high quality source for vulnerability data.