CVE-2026-92462

Nome do Software Vulnerável e Versões Afetadas yshop-crm versões anteriores a 2.1.4

Description Verificações de autorização insuficientes na função deleteFlowStep() do CrmFlowController permitem que qualquer usuário autenticado do back-office exclua etapas arbitrárias de fluxo de trabalho de aprovação. Isso pode ser feito enviando uma requisição para o endpoint 'DELETE /admin-api/crm/flow/delete-step', permitindo a remoção de etapas que controlam a finalização de faturas, contas a receber e contratos.

Recommendations Atualize o yshop-crm para a versão 2.1.4 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'DELETE /admin-api/crm/flow/delete-step'.