CVE-2026-111703

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie kontraktów poprzez wywołanie POST /admin-api/crm/contract/check. Ponieważ CrmContractController nie ma @PreAuthorize, a sprawdzenia zatwierdzającego są zakomentowane, atakujący mogą zatwierdzać kontrakty, aby zmienić dane transakcji i zakupów klienta, lub odrzucać je, aby zwrócić produkty do magazynu.

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie faktur poprzez POST /admin-api/crm/invoice/check. Handler check w CrmInvoiceController nie ma adnotacji @PreAuthorize, a sprawdzenia zatwierdzającego są zakomentowane, co pozwala atakującym obejść proces zatwierdzania faktur, podając dowolny identyfikator faktury.

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie rekordów należności poprzez wywołanie POST /admin-api/crm/contract-receivables/check. Handler nie ma sprawdzenia @PreAuthorize, a sprawdzenia zatwierdzającego w CrmContractReceivablesServiceImpl.check są zakomentowane, więc atakujący mogą zatwierdzać rekordy po identyfikatorze, zawyżając return_money kontraktu i fałszując dzienniki zatwierdzeń.

W yshop-crm do wersji 2.1.3 występuje błąd autoryzacji w punkcie końcowym GET /admin-api/system/user/page, gdzie adnotacja @PreAuthorize została zakomentowana. Uwierzytelnieni użytkownicy back-office bez uprawnienia system:user:list mogą wyliczyć wszystkich użytkowników. Osoby z ważnymi poświadczeniami i rolą o zakresie danych ALL mogą pobrać pełny katalog użytkowników, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i informacje o ostatnim logowaniu.

W yshop-crm do wersji 2.1.3 nie są egzekwowane kontrole autoryzacji w punkcie końcowym deleteFlowStep kontrolera CrmFlowController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office usuwać dowolne kroki zatwierdzania. Atakujący mogą wywołać DELETE /admin-api/crm/flow/delete-step bez wymaganych uprawnień, aby usunąć kroki zatwierdzania kontrolujące procesy finalizacji umów, należności i faktur.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym GET /admin-api/crm/flow/flow-users, która pozwala każdemu zalogowanemu użytkownikowi back-office na dostęp do danych przepływu zatwierdzania. Atakujący mogą pobrać topologię łańcucha zatwierdzania, kolejność kroków, identyfikatory zatwierdzających oraz dane osobowe, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i adresy IP ostatniego logowania.

W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punkcie końcowym GET /admin-api/crm/operatelog/page, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office na dostęp do ogólnosystemowego dziennika audytu. Atakujący mogą odpytywać dziennik operacji, aby pobrać nazwy operatorów, pseudonimy, adresy IP klientów, ciągi User-Agent, adresy URL żądań, szczegóły akcji i identyfikatory klientów bez odpowiednich kontroli uprawnień.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym receiveCustomer kontrolera CrmCluesController, która pozwala uwierzytelnionym użytkownikom back-office przejmować leady sprzedażowe bez odpowiednich kontroli uprawnień. Atakujący mogą wywołać punkt końcowy przejmowania leadów, aby przypisać leady innych pracowników do siebie poprzez nadpisanie pola ownerUserId, bez rejestrowania dostępu i walidacji limitów, co umożliwia masową kradzież leadów.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w handlerze onSale kontrolera StoreProductController, która pozwala uwierzytelnionym użytkownikom back-office modyfikować status sprzedaży produktów. Atakujący mogą wywołać GET /admin-api/product/store-product/sale z sekwencyjnymi identyfikatorami produktów, aby wycofać całe katalogi produktów ze sprzedaży lub ponownie włączyć wycofane produkty bez odpowiednich kontroli uprawnień.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym issueInvoice kontrolera CrmInvoiceController, która pozwala uwierzytelnionym użytkownikom back-office wystawiać dowolne faktury. Atakujący mogą wywołać PUT /admin-api/crm/invoice/issue bez wymaganych uprawnień, aby zmienić status faktury, zawyżyć zafakturowane kwoty umów o wybrane przez siebie wartości i wywołać wysyłkę e-maili z fakturami na dowolne adresy.