CVE-2026-19871

Obejście autoryzacji przez klucz kontrolowany przez użytkownika w API dostawcy w Roskus Prospero Flow CRM w wersjach od 4.0.0 do 5.3.1 pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt i modyfikację rekordu dostawcy innej firmy oraz na przypisanie go do własnej firmy, poprzez żądanie PUT do /api/supplier/{id} z ustawieniem company_id w treści.

Cross-Site Request Forgery (CSRF) w OrderConfirmController w GET /order/confirm/{order_number} w Roskus Prospero Flow CRM przed wersją 5.15.11 pozwala nieuwierzytelnionemu atakującemu na potwierdzenie dowolnego zamówienia w imieniu uwierzytelnionego użytkownika poprzez skierowanie go na spreparowaną stronę. Middleware Laravel VerifyCsrfToken egzekwuje tokeny CSRF tylko dla żądań POST, PUT, PATCH i DELETE; deklaracja Route::get pozostawia tę akcję zmieniającą stan bez ochrony. Ciasteczka sesji skonfigurowane z SameSite=Lax są automatycznie dołączane w nawigacji najwyższego poziomu, więc pojedyncze kliknięcie w link wywołuje OrderConfirmController::confirm() i zmienia stan zamówienia z oczekującego na potwierdzone bez autoryzacji użytkownika. Ponieważ numery zamówień są sekwencyjnymi liczbami całkowitymi, atakujący może je enumerować i potwierdzić wszystkie istniejące zamówienia w jednym automatycznym przebiegu.

Podatność nieograniczonego przesyłania plików o niebezpiecznym typie w przesyłaniu zdjęć produktów w Roskus Prospero Flow CRM przed wersją 5.16.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tworzenia produktów (standardowa rola Sprzedawcy) na wykonanie dowolnego JavaScript w kontekście aplikacji. Reguła walidacji zdjęć klasyfikuje plik tylko na podstawie zawartości (magiczne bajty) i odrzuca tylko stałą listę rozszerzeń PHP, podczas gdy ProductSaveController::save() nazywa przechowywany plik używając rozszerzenia dostarczonego przez klienta i kopiuje go do publicznego katalogu web. Plik zaczynający się od nagłówka obrazu i mający rozszerzenie HTML przechodzi walidację, jest przechowywany w public/asset/upload/product/ i jest serwowany z typem treści text/html, zamieniając przesyłanie w wykonanie skryptu po stronie klienta (stored XSS).

W systemie Roskus Prospero Flow CRM przed wersją 5.15.13 wykryto podatność nieograniczonego przesyłania plików o niebezpiecznym typie w funkcji przesyłania logo firmy. Uwierzytelniony użytkownik z uprawnieniami do tworzenia i aktualizacji firm może wykonać dowolny kod JavaScript w kontekście aplikacji poprzez przesłanie dokumentu SVG zawierającego osadzony skrypt.

W module płac w Roskus Prospero Flow CRM przed wersją 5.15.10 wykryto podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika. Uwierzytelnieni użytkownicy z uprawnieniem do odczytu płac mogą przeglądać dane wynagrodzeń i kont bankowych pracowników innych firm w instancji, a użytkownicy z uprawnieniem do tworzenia płac mogą tworzyć rekordy płac przypisane do pracowników innej firmy. Dzieje się tak, ponieważ zapytanie listujące nie jest ograniczone do firmy wywołującego, a identyfikator pracownika jest weryfikowany pod kątem globalnego istnienia, a nie przynależności do firmy.

Brak autoryzacji i obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie zarządzania produktami w Roskus Prospero Flow CRM przed wersją 5.4.7. Uwierzytelnieni użytkownicy dowolnej firmy mogą odczytać pełne wrażliwe dane (cenę, koszt, stan magazynowy, SKU i kod kreskowy) produktu innej firmy oraz przejąć ten produkt, przypisując mu własne company_id, poprzez numeryczny identyfikator produktu, ponieważ ProductUpdateController nie rozszerzał MainController i dlatego nie wymagał sprawdzenia uwierzytelnienia na punkcie końcowym odczytu, a ProductRepository::save() pobierał rekord przez Product::find($data['id']) bez ograniczania zapytania do firmy uwierzytelnionego użytkownika przed nadpisaniem jego company_id.

Roskus Prospero Flow CRM przed wersją 5.4.9 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz, co pozwala uwierzytelnionym użytkownikom dowolnej firmy na odczyt, przejęcie i usunięcie zgłoszeń innych firm.

Roskus Prospero Flow CRM przed wersją 5.4.8 ma podatność obejścia autoryzacji w module zarządzania kontaktami, umożliwiającą uwierzytelnionym użytkownikom nadpisywanie danych kontaktowych innych firm i pobieranie ich danych jako vCard.

Brak autoryzacji w komponencie zarządzania uprawnieniami w Roskus Prospero Flow CRM przed wersją 5.2.1 umożliwia każdemu uwierzytelnionemu użytkownikowi nadanie dowolnej roli, w tym własnej, pełnego zestawu uprawnień aplikacji poprzez spreparowane żądanie POST do endpointu zapisu uprawnień, który nie wykonuje żadnej kontroli autoryzacji przed synchronizacją przesłanych uprawnień do określonej roli.

W Roskus Prospero Flow CRM przed wersją 5.3.7 wykryto podatność Cross-site Scripting w widoku indeksu leadów. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia lub aktualizacji leadów mogą wykonać dowolny JavaScript w kontekście aplikacji poprzez znaczniki HTML przechowywane w polu nazwy leadu, które widok renderuje za pomocą nieuciekającego dyrektywy Blade'a oraz wewnątrz literału ciągu JavaScript w atrybucie onclick.