CVE-2026-92458 in yshop-crm
Riassunto
di VulDB • 16/09/2026
yshop-crm fino alla versione 2.1.3 presenta una vulnerabilità di missing authorization nel gestore onSale di StoreProductController, che consente agli utenti back-office autenticati di modificare lo stato di vendita del prodotto. Gli attaccanti possono invocare l'endpoint GET /admin-api/product/store-product/sale con ID di prodotto sequenziali per rimuovere dall'elenco dei prodotti in vendita interi cataloghi o riabilitare i prodotti rimossi senza le necessarie verifiche sui permessi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.