CVE-2026-92456
Açıklama
yshop-crm 2.1.3 ve öncesi sürümlerde, CrmCustomerController içerisindeki saveRedisSet ve getRedisSet uç noktalarında yetkilendirme denetimi yapılmamaktadır; bu durum, kimliği doğrulanmış herhangi bir back-office kullanıcısının kurulum genelindeki potansiyel müşteri tahsis ve müşteri otomatik geri dönüşüm politikasını okumasına ve değiştirmesine olanak tanır. Saldırganlar, müşteri otomatik geri dönüşüm davranışını kontrol eden paylaşılan Redis anahtarlarını manipüle etmek için bu uç noktaları çağırarak kitlesel müşteri veri silinmesine neden olabilir, potansiyel müşteri geri dönüşümünü devre dışı bırakabilir veya tüm dağıtım boyunca müşteri oluşturulmasını engelleyebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| guchengwuyue yshop-crm | v ≤ 2.1.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.