CVE-2026-92463

Nome do Software Vulnerável e Versões Afetadas yshop-crm versões anteriores a 2.1.4

Descrição Existe uma falha de autorização no endpoint 'GET /admin-api/system/user/page' porque a anotação @PreAuthorize está comentada. Isso permite que usuários autenticados do back-office que não possuem a permissão system:user:list enumerem todos os usuários. Especificamente, invasores com credenciais válidas de back-office e uma função com escopo de dados ALL podem recuperar o diretório completo de usuários, incluindo nomes de login, apelidos, departamentos, endereços de e-mail, números de celular e informações do último login.

Recomendações Atualize o yshop-crm para a versão 2.1.4 ou posterior. Restrinja o acesso ao endpoint 'GET /admin-api/system/user/page' para evitar a enumeração não autorizada de usuários.