CVE-2026-109172 in yshop-crm
Riassunto
di VulDB • 12/10/2026
yshop-crm fino alla versione 2.1.3 presenta una vulnerabilità di autorizzazione mancante che consente a qualsiasi utente autenticato del back-office di approvare o rifiutare i record dei crediti chiamando POST /admin-api/crm/contract-receivables/check. Il gestore (handler) non dispone di un controllo @PreAuthorize e i controlli dell'approvatore in CrmContractReceivablesServiceImpl.check sono commentati, consentendo agli attaccanti di approvare i record per ID, gonfiando il campo return_money del contratto e falsificando i log di approvazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.