PT-2026-93705 · Yshop-Crm · Yshop-Crm
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
yshop-crm versões anteriores a 2.1.4
Description
Um problema de falta de autorização existe no endpoint 'GET /admin-api/crm/flow/flow-users'. Isso permite que qualquer usuário de back-office autenticado acesse dados sensíveis do fluxo de aprovação, incluindo a topologia da cadeia de aprovação, a ordenação das etapas e os identificadores dos aprovadores. Além disso, informações pessoais, como nomes de login, apelidos, departamentos, endereços de e-mail, números de celular e endereços IP do último login, podem ser recuperadas.
Recommendations
Atualize para a versão 2.1.4 ou posterior.
Restrinja o acesso ao endpoint 'GET /admin-api/crm/flow/flow-users' apenas a pessoal autorizado.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Yshop-Crm