CVE-2026-92456 in yshop-crm
要約
〜によって VulDB • 2026年09月16日
yshop-crm 2.1.3以前では、CrmCustomerControllerのsaveRedisSetおよびgetRedisSetエンドポイントにおいて認可が適切に適用されていないため、認証済みバックオフィスユーザーであれば誰でもインストール全体のリード配分や顧客自動リサイクルポリシーを読み取り・変更できます。攻撃者はこれらのエンドポイントを呼び出して、顧客の自動リサイクル動作を制御する共有Redisキーを操作し、大量の顧客データ削除、リードのリサイクル無効化、またはデプロイメント全体での顧客作成ブロックを引き起こすことができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.