CVE-2026-109171

Nome do Software Vulnerável e Versões Afetadas yshop-crm versões anteriores a 2.1.4

Descrição Uma falha de autorização ausente permite que qualquer usuário autenticado do back-office aprove ou rejeite contratos. Isso ocorre porque o CrmContractController carece da anotação @PreAuthorize e as verificações de aprovador estão comentadas. Um invasor pode explorar isso chamando o endpoint POST '/admin-api/crm/contract/check' para alterar dados de acordos e compras de clientes ou retornar produtos ao estoque.

Recomendações Atualize o yshop-crm para a versão 2.1.4 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/admin-api/crm/contract/check' apenas a pessoal autorizado.