CVE-2026-92459 in yshop-crm
Sumário
de VulDB • 17/09/2026
yshop-crm até a versão 2.1.3 contém uma vulnerabilidade de autorização ausente (Missing Authorization) no endpoint receiveCustomer do CrmCluesController que permite aos usuários autenticados do back-office reivindicar leads de vendas sem as devidas verificações de permissão. Os atacantes podem invocar o endpoint lead-claim para reatribuir leads de outros funcionários a si mesmos, sobrescrevendo o campo ownerUserId, sem registro de acesso ou validação de cota para impedir o roubo em massa de leads.
If you want to get best quality of vulnerability data, you may have to visit VulDB.