CVE-2026-19433
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Roskus Prospero Flow CRM przed wersją 5.4.8 ma podatność obejścia autoryzacji w module zarządzania kontaktami, umożliwiającą uwierzytelnionym użytkownikom nadpisywanie danych kontaktowych innych firm i pobieranie ich danych jako vCard.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych osobowych klientów innych firm i je modyfikować, co może prowadzić do naruszenia prywatności i integralności danych.
Rekomendacja
Zaktualizuj Roskus Prospero Flow CRM do wersji 5.4.8 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key in the contact management component in Roskus Prospero Flow CRM before 5.4.8 allows authenticated users of any company to blindly overwrite the contact data of another company and to download that contact's personal data as a vCard via the contact's numeric identifier, because the save and export operations retrieve the record without constraining the query to the authenticated user's company.