CVE-2026-92457

Nome do Software Vulnerável e Versões Afetadas yshop-crm versões anteriores a 2.1.4

Descrição Usuários autenticados do back-office podem emitir faturas arbitrárias devido à falta de autorização na função issueInvoice() do CrmInvoiceController. Ao chamar o endpoint PUT '/admin-api/crm/invoice/issue', um invasor pode modificar o status da fatura, inflar valores faturados de contratos usando valores personalizados e disparar e-mails de fatura para endereços arbitrários sem as permissões necessárias.

Recomendações Atualize o yshop-crm para a versão 2.1.4 ou posterior. Restrinja o acesso ao endpoint '/admin-api/crm/invoice/issue' apenas a pessoal autorizado.