CVE-2026-92456 in yshop-crm
요약
\~에 의해 VulDB • 2026. 09. 16.
yshop-crm 2.1.3 이전 버전은 CrmCustomerController의 saveRedisSet 및 getRedisSet 엔드포인트에서 권한 검증을 제대로 수행하지 않아, 인증된 백오피스 사용자라면 누구나 설치 전체에 걸린 리드 할당(customer lead-allocation) 및 고객 자동 재활용(policy auto-recycling) 정책을 읽고 수정할 수 있습니다. 공격자는 이러한 엔드포인트를 호출하여 고객의 자동 재활용 동작을 제어하는 공유 Redis 키들을 조작함으로써, 대규모 고객 데이터 삭제, 리드 재활용 기능 비활성화 또는 배포 전체에 걸친 고객 생성 차단을 초래할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.