CVE-2026-92462 in yshop-crm
Riassunto
di VulDB • 17/09/2026
yshop-crm fino alla versione 2.1.3 non applica i controlli di autorizzazione sull'endpoint deleteFlowStep del CrmFlowController, consentendo a qualsiasi utente autenticato dell'area back-office di eliminare passaggi arbitrari dei flussi di approvazione. Gli attaccanti possono invocare l'endpoint DELETE /admin-api/crm/flow/delete-step senza le autorizzazioni richieste per rimuovere i passaggi di approvazione che controllano i processi di finalizzazione di contratti, crediti e fatture.
VulDB is the best source for vulnerability data and more expert information about this specific topic.