CVE-2026-92457
ŚrednieCVSS 6.5Streszczenie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym issueInvoice kontrolera CrmInvoiceController, która pozwala uwierzytelnionym użytkownikom back-office wystawiać dowolne faktury. Atakujący mogą wywołać PUT /admin-api/crm/invoice/issue bez wymaganych uprawnień, aby zmienić status faktury, zawyżyć zafakturowane kwoty umów o wybrane przez siebie wartości i wywołać wysyłkę e-maili z fakturami na dowolne adresy.
Ocena ryzyka
Nieuprawnione wystawianie faktur może prowadzić do poważnych strat finansowych, błędów w rozliczeniach i nadużyć podatkowych. Wysyłka faktur na dowolne adresy może skutkować wyciekiem danych finansowych i naruszeniem przepisów.
Rekomendacja
Należy natychmiast dodać kontrolę uprawnień do punktu końcowego PUT /admin-api/crm/invoice/issue oraz zweryfikować integralność istniejących faktur i kwot umów. Zaleca się również ograniczenie możliwości wysyłki e-maili z fakturami do autoryzowanych adresów.
Inne podatności w yshop-crm
Zobacz wszystkie- CVE-2026-92463Średnie
W yshop-crm do wersji 2.1.3 występuje błąd autoryzacji w punkcie końcowym GET /admin-api/system/user/page, gdzie adnotacja @PreAuthorize została zakomentowana. Uwierzytelnieni użytkownicy back-office bez uprawnienia system:user:list mogą wyliczyć wszystkich użytkowników. Osoby z ważnymi poświadczeniami i rolą o zakresie danych ALL mogą pobrać pełny katalog użytkowników, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i informacje o ostatnim logowaniu.
- CVE-2026-92462Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane kontrole autoryzacji w punkcie końcowym deleteFlowStep kontrolera CrmFlowController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office usuwać dowolne kroki zatwierdzania. Atakujący mogą wywołać DELETE /admin-api/crm/flow/delete-step bez wymaganych uprawnień, aby usunąć kroki zatwierdzania kontrolujące procesy finalizacji umów, należności i faktur.
- CVE-2026-92461Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym GET /admin-api/crm/flow/flow-users, która pozwala każdemu zalogowanemu użytkownikowi back-office na dostęp do danych przepływu zatwierdzania. Atakujący mogą pobrać topologię łańcucha zatwierdzania, kolejność kroków, identyfikatory zatwierdzających oraz dane osobowe, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i adresy IP ostatniego logowania.
- CVE-2026-92460Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punkcie końcowym GET /admin-api/crm/operatelog/page, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office na dostęp do ogólnosystemowego dziennika audytu. Atakujący mogą odpytywać dziennik operacji, aby pobrać nazwy operatorów, pseudonimy, adresy IP klientów, ciągi User-Agent, adresy URL żądań, szczegóły akcji i identyfikatory klientów bez odpowiednich kontroli uprawnień.
- CVE-2026-92459Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym receiveCustomer kontrolera CrmCluesController, która pozwala uwierzytelnionym użytkownikom back-office przejmować leady sprzedażowe bez odpowiednich kontroli uprawnień. Atakujący mogą wywołać punkt końcowy przejmowania leadów, aby przypisać leady innych pracowników do siebie poprzez nadpisanie pola ownerUserId, bez rejestrowania dostępu i walidacji limitów, co umożliwia masową kradzież leadów.
- CVE-2026-92458Średnie
W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w handlerze onSale kontrolera StoreProductController, która pozwala uwierzytelnionym użytkownikom back-office modyfikować status sprzedaży produktów. Atakujący mogą wywołać GET /admin-api/product/store-product/sale z sekwencyjnymi identyfikatorami produktów, aby wycofać całe katalogi produktów ze sprzedaży lub ponownie włączyć wycofane produkty bez odpowiednich kontroli uprawnień.
- CVE-2026-92456Wysokie
System yshop-crm do wersji 2.1.3 nie egzekwuje autoryzacji na endpointach saveRedisSet i getRedisSet w kontrolerze CrmCustomerController. Każdy uwierzytelniony użytkownik back-office może odczytywać i modyfikować globalną politykę przydziału leadów oraz automatycznego recyklingu klientów.
- CVE-2026-92455Średnie
W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punktach końcowych sendSms i sendMail kontrolera CrmCustomerController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office wysyłać SMS-y i e-maile do dowolnych klientów. Atakujący mogą wywołać POST /admin-api/crm/customer/send-sms i POST /admin-api/crm/customer/send-mail z dowolnymi customerIds, templateCode i templateParams, aby dostarczać nieautoryzowane wiadomości przez kanały SMS i e-mail organizacji.
Oryginalny opis (angielski, źródło NVD)
yshop-crm through 2.1.3 contains a missing authorization vulnerability in the CrmInvoiceController issueInvoice endpoint that allows authenticated back-office users to issue arbitrary invoices. Attackers can call the PUT /admin-api/crm/invoice/issue endpoint without required permissions to modify invoice status, inflate contract invoiced amounts with attacker-chosen values, and trigger invoice emails to arbitrary addresses.