CVE-2026-19870
WysokieCVSS 8.6Streszczenie
W module płac w Roskus Prospero Flow CRM przed wersją 5.15.10 wykryto podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika. Uwierzytelnieni użytkownicy z uprawnieniem do odczytu płac mogą przeglądać dane wynagrodzeń i kont bankowych pracowników innych firm w instancji, a użytkownicy z uprawnieniem do tworzenia płac mogą tworzyć rekordy płac przypisane do pracowników innej firmy. Dzieje się tak, ponieważ zapytanie listujące nie jest ograniczone do firmy wywołującego, a identyfikator pracownika jest weryfikowany pod kątem globalnego istnienia, a nie przynależności do firmy.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do poufnych danych płacowych innych firm, co narusza prywatność i może prowadzić do wycieku danych. Może również tworzyć fałszywe rekordy płac, co może prowadzić do oszustw finansowych.
Rekomendacja
Zaleca się aktualizację Roskus Prospero Flow CRM do wersji 5.15.10 lub nowszej, która zawiera poprawkę. Należy również regularnie przeglądać uprawnienia użytkowników i ograniczać dostęp do modułu płac.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key in the payroll module in Roskus Prospero Flow CRM before 5.15.10 allows authenticated users holding the read payroll permission to view the salary and banking details of employees of any other company in the instance, and users holding the create payroll permission to create payroll records attributed to another company's employees, because the listing query is not scoped to the caller's company and the employee identifier is validated for global existence rather than company membership