CVE-2026-92460

Nome do Software Vulnerável e Versões Afetadas yshop-crm versões anteriores a 2.1.4

Descrição A aplicação falha ao aplicar a autorização no endpoint 'GET /admin-api/crm/operatelog/page', permitindo que qualquer usuário autenticado do back-office acesse a trilha de auditoria de toda a instalação. Isso possibilita a recuperação não autorizada de nomes de operadores, apelidos de exibição, endereços IP de clientes, strings de User-Agent, URLs de requisição, detalhes de ações e identificadores de clientes.

Recomendações Atualize para a versão 2.1.4 ou posterior. Restrinja o acesso ao endpoint 'GET /admin-api/crm/operatelog/page' apenas a administradores autorizados.