CVE-2026-109172 in yshop-crm
요약
\~에 의해 VulDB • 2026. 10. 12.
yshop-crm 2.1.3 이전 버전에는 인증 누락 취약점이 존재하여, POST /admin-api/crm/contract-receivables/check 엔드포인트를 호출함으로써 모든 인증된 백오피스 사용자가 수금 기록을 승인 또는 거부할 수 있습니다. 해당 핸들러는 @PreAuthorize 검사를 수행하지 않으며, CrmContractReceivablesServiceImpl.check 내의 승급자 검증 로직이 주석 처리되어 있어 공격자가 ID로 레코드를 승인하여 계약의 return_money를 부풀리고 승인 로그를 위조할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.