CVE-2026-109172

اسم البرنامج المصاب والإصدارات المتأثرة yshop-crm الإصدارات السابقة لـ 2.1.4

الوصف يوجد خلل في التصريح يسمح لأي مستخدم مكتب خلفي (back-office) مصرح له بالموافقة على سجلات المستحقات أو رفضها. يحدث هذا لأن المعالج الخاص بنقطة النهاية "/admin-api/crm/contract-receivables/check" يفتقر إلى فحص @PreAuthorize كما أن فحوصات المعتمد في دالة check() ضمن CrmContractReceivablesServiceImpl معطلة (commented out). يمكن للمهاجم استغلال ذلك للموافقة على السجلات عن طريق المعرف (ID)، مما يؤدي إلى تضخيم قيمة return money للعقد وتزوير سجلات الموافقة.

التوصيات تحديث yshop-crm إلى الإصدار 2.1.4 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية "/admin-api/crm/contract-receivables/check".