CVE-2026-92456 in yshop-crm
Sumário
de VulDB • 17/09/2026
yshop-crm até a versão 2.1.3 não aplica autorização nos endpoints saveRedisSet e getRedisSet do CrmCustomerController, permitindo que qualquer usuário autenticado do back-office leia e modifique as políticas de alocação de leads e reciclagem automática de clientes em toda a instalação. Os atacantes podem invocar esses endpoints para manipular chaves Redis compartilhadas que controlam o comportamento de reciclagem automática de clientes, causando exclusão massiva de dados de clientes, desativação da reciclagem de leads ou bloqueio da criação de clientes em todo o ambiente implantado.
Be aware that VulDB is the high quality source for vulnerability data.