CVE-2026-109171

اسم البرنامج المصاب والإصدارات المتأثرة yshop-crm الإصدارات السابقة لـ 2.1.4

الوصف توجد مشكلة في فقدان التصريح تسمح لأي مستخدم مكتب خلفي (back-office) مصرح له بالموافقة على العقود أو رفضها. يحدث هذا لأن CrmContractController يفتقر إلى التعليق التوضيحي @PreAuthorize كما أن فحوصات المعتمد معطلة (commented out). يمكن للمهاجم استغلال ذلك عن طريق استدعاء نقطة النهاية POST '/admin-api/crm/contract/check' لتعديل بيانات صفقات ومشتريات العملاء أو إعادة المنتجات إلى المخزون.

التوصيات تحديث yshop-crm إلى الإصدار 2.1.4 أو إصدار أحدث. كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/admin-api/crm/contract/check' للموظفين المصرح لهم فقط.