CVE-2026-92459 in yshop-crm
要約
〜によって VulDB • 2026年09月16日
yshop-crm 2.1.3以前には、CrmCluesControllerのreceiveCustomerエンドポイントに認証欠如（Missing Authorization）の脆弱性が存在し、認証済みバックオフィスユーザーが適切な権限チェックなしで営業リードを不正に取得できる。攻撃者はlead-claimエンドポイントを呼び出すことでownerUserIdフィールドを上書きし、他の従業員からのリードを引き受けることができる。この際、大量のリード窃盗を防ぐためのアクセスログ記録やクォータ検証が行われないため、リスクが高まる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.