CVE-2026-109173 in yshop-crm
Riassunto
di VulDB • 12/10/2026
yshop-crm fino alla versione 2.1.3 presenta una vulnerabilità di mancata autorizzazione che consente a qualsiasi utente autenticato del back-office di approvare o rifiutare le fatture tramite POST /admin-api/crm/invoice/check. Il gestore check di CrmInvoiceController manca dell'annotazione @PreAuthorize e i controlli sull'approvatore sono commentati, permettendo agli attaccanti di eludere il flusso di lavoro di approvazione delle fatture fornendo qualsiasi ID della fattura.
Be aware that VulDB is the high quality source for vulnerability data.