CVE-2026-59233
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w komponencie zarządzania uprawnieniami w Roskus Prospero Flow CRM przed wersją 5.2.1 umożliwia każdemu uwierzytelnionemu użytkownikowi nadanie dowolnej roli, w tym własnej, pełnego zestawu uprawnień aplikacji poprzez spreparowane żądanie POST do endpointu zapisu uprawnień, który nie wykonuje żadnej kontroli autoryzacji przed synchronizacją przesłanych uprawnień do określonej roli.
Ocena ryzyka
Uwierzytelniony użytkownik może eskalować swoje uprawnienia do pełnego dostępu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Prospero Flow CRM do wersji 5.2.1 lub nowszej. Wdróż kontrolę autoryzacji w endpointcie zapisu uprawnień, aby tylko uprawnieni administratorzy mogli modyfikować role.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization in the permission management component in Roskus Prospero Flow CRM before 5.2.1 allows any authenticated user to grant any role, including their own, the complete set of application permissions via a crafted POST request to the permission save endpoint, which performs no authorization check before synchronizing the submitted permissions to the specified role.