CVE-2026-92456
WysokieCVSS 7.1Streszczenie
System yshop-crm do wersji 2.1.3 nie egzekwuje autoryzacji na endpointach saveRedisSet i getRedisSet w kontrolerze CrmCustomerController. Każdy uwierzytelniony użytkownik back-office może odczytywać i modyfikować globalną politykę przydziału leadów oraz automatycznego recyklingu klientów.
Ocena ryzyka
Atakujący może manipulować współdzielonymi kluczami Redis, powodując masowe usuwanie danych klientów, wyłączenie recyklingu leadów lub blokowanie tworzenia klientów w całym wdrożeniu.
Rekomendacja
Zaktualizuj yshop-crm do wersji pozbawionej podatności, wdróż kontrolę autoryzacji na endpointach oraz ogranicz dostęp do operacji na Redisie.
Inne podatności w yshop-crm
Zobacz wszystkie- CVE-2026-92463Średnie
W yshop-crm do wersji 2.1.3 występuje błąd autoryzacji w punkcie końcowym GET /admin-api/system/user/page, gdzie adnotacja @PreAuthorize została zakomentowana. Uwierzytelnieni użytkownicy back-office bez uprawnienia system:user:list mogą wyliczyć wszystkich użytkowników. Osoby z ważnymi poświadczeniami i rolą o zakresie danych ALL mogą pobrać pełny katalog użytkowników, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i informacje o ostatnim logowaniu.
- CVE-2026-92462Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane kontrole autoryzacji w punkcie końcowym deleteFlowStep kontrolera CrmFlowController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office usuwać dowolne kroki zatwierdzania. Atakujący mogą wywołać DELETE /admin-api/crm/flow/delete-step bez wymaganych uprawnień, aby usunąć kroki zatwierdzania kontrolujące procesy finalizacji umów, należności i faktur.
- CVE-2026-92461Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym GET /admin-api/crm/flow/flow-users, która pozwala każdemu zalogowanemu użytkownikowi back-office na dostęp do danych przepływu zatwierdzania. Atakujący mogą pobrać topologię łańcucha zatwierdzania, kolejność kroków, identyfikatory zatwierdzających oraz dane osobowe, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i adresy IP ostatniego logowania.
- CVE-2026-92460Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punkcie końcowym GET /admin-api/crm/operatelog/page, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office na dostęp do ogólnosystemowego dziennika audytu. Atakujący mogą odpytywać dziennik operacji, aby pobrać nazwy operatorów, pseudonimy, adresy IP klientów, ciągi User-Agent, adresy URL żądań, szczegóły akcji i identyfikatory klientów bez odpowiednich kontroli uprawnień.
- CVE-2026-92459Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym receiveCustomer kontrolera CrmCluesController, która pozwala uwierzytelnionym użytkownikom back-office przejmować leady sprzedażowe bez odpowiednich kontroli uprawnień. Atakujący mogą wywołać punkt końcowy przejmowania leadów, aby przypisać leady innych pracowników do siebie poprzez nadpisanie pola ownerUserId, bez rejestrowania dostępu i walidacji limitów, co umożliwia masową kradzież leadów.
- CVE-2026-92458Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w handlerze onSale kontrolera StoreProductController, która pozwala uwierzytelnionym użytkownikom back-office modyfikować status sprzedaży produktów. Atakujący mogą wywołać GET /admin-api/product/store-product/sale z sekwencyjnymi identyfikatorami produktów, aby wycofać całe katalogi produktów ze sprzedaży lub ponownie włączyć wycofane produkty bez odpowiednich kontroli uprawnień.
- CVE-2026-92457Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym issueInvoice kontrolera CrmInvoiceController, która pozwala uwierzytelnionym użytkownikom back-office wystawiać dowolne faktury. Atakujący mogą wywołać PUT /admin-api/crm/invoice/issue bez wymaganych uprawnień, aby zmienić status faktury, zawyżyć zafakturowane kwoty umów o wybrane przez siebie wartości i wywołać wysyłkę e-maili z fakturami na dowolne adresy.
- CVE-2026-92455Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punktach końcowych sendSms i sendMail kontrolera CrmCustomerController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office wysyłać SMS-y i e-maile do dowolnych klientów. Atakujący mogą wywołać POST /admin-api/crm/customer/send-sms i POST /admin-api/crm/customer/send-mail z dowolnymi customerIds, templateCode i templateParams, aby dostarczać nieautoryzowane wiadomości przez kanały SMS i e-mail organizacji.
Oryginalny opis (angielski, źródło NVD)
yshop-crm through 2.1.3 fails to enforce authorization on the saveRedisSet and getRedisSet endpoints in CrmCustomerController, allowing any authenticated back-office user to read and modify installation-wide lead-allocation and customer auto-recycling policy. Attackers can invoke these endpoints to manipulate shared Redis keys controlling customer auto-recycling behavior, causing mass customer data deletion, disabling lead recycling, or blocking customer creation across the deployment.