CVE-2026-19871
KrytyczneCVSS 9.3Streszczenie
Użycie twardo zakodowanych poświadczeń w komponencie zasobów ludzkich w Roskus Prospero Flow CRM przed wersją 5.15.9. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny pracownik onboardowany przez standardowy proces, znając tylko jego adres e-mail, ponieważ kontroler zapisu pracownika używa dosłownego hasła "changeme", a formularz onboardingu nie zawiera pola hasła.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do kont pracowników, co może prowadzić do naruszenia danych osobowych i innych poufnych informacji.
Rekomendacja
Zaktualizuj Roskus Prospero Flow CRM do wersji 5.15.9 lub nowszej. Wymuś zmianę domyślnych haseł i wdróż silne uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Use of Hard-coded Credentials in the human resources component in Roskus Prospero Flow CRM before 5.15.9 allows unauthenticated remote attackers to authenticate as any employee onboarded through the standard flow, knowing only their email address, because the employee save controller falls back to the literal password "changeme" and the onboarding form provides no password field.