CVE-2026-59235
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Prospero Flow CRM w wersji poniżej 5.5.3 wykryto brak autoryzacji w kontrolerze BankAccountListController. Uwierzytelniony atakujący z niskimi uprawnieniami może odczytać dane bankowe firmy, wysyłając żądanie do API bez wymaganego sprawdzenia roli.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych informacji bankowych (IBAN, SWIFT/BIC) do nieuprawnionych użytkowników, co może prowadzić do naruszenia prywatności i zgodności z regulacjami.
Rekomendacja
Należy natychmiast zaktualizować Prospero Flow CRM do wersji 5.5.3 lub nowszej, która zawiera poprawkę usuwającą brak autoryzacji w API.
Inne podatności w Prospero Flow CRM
Zobacz wszystkie- CVE-2026-77780Średnie
Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.
- CVE-2026-77759Wysokie
Roskus Prospero Flow CRM w wersjach 5.0.0 do 5.3.5 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz w API transakcji. Uwierzytelniony użytkownik może odczytać transakcje innych firm na tej samej instancji, używając zwiększonego identyfikatora w GET /api/transaction/{id}, bez sprawdzania zakresu firmy i bez żadnej kontroli uprawnień.
- CVE-2026-59237Średnie
Podatność pozwala uwierzytelnionemu użytkownikowi na ominięcie autoryzacji poprzez manipulację identyfikatorem numerycznym w endpointach REST API. Kontrolery Order i OrderItem w Prospero Flow CRM przed wersją 5.5.3 nie sprawdzają przynależności rekordu do firmy użytkownika, co umożliwia odczyt, modyfikację i usuwanie zamówień oraz pozycji zamówień innych firm.
- CVE-2026-59236Średnie
Podatność w Prospero Flow CRM przed wersją 5.14.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie autoryzacji poprzez kontrolowany klucz (CWE-639) w mechanizmie importu plików Excel. Atakujący może tworzyć rekordy klientów, leadów i produktów w dzierżawie innej firmy, przesyłając arkusz kalkulacyjny z odpowiednio ustawioną kolumną company_id.
- CVE-2026-59234Średnie
Podatność w Prospero Flow CRM przed wersją 5.5.3 umożliwia uwierzytelnionemu atakującemu usunięcie dowolnych wydarzeń kalendarza innych użytkowników poprzez manipulację parametrem {id} w żądaniu GET do /calendar/event/delete/{id}. Brak kontroli własności (user_id/company_id) przed usunięciem prowadzi do nieautoryzowanego zniszczenia danych.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization (CWE-862) in BankAccountListController (app/Http/Controllers/Api/BankAccount/BankAccountListController.php), exposed at GET /api/bank-account, in Prospero Flow CRM <5.5.3, which allows a remote, authenticated attacker holding a low-privileged role (e.g. the "User"/"Usuario" role) to read arbitrary bank account records belonging to their company by sending an authenticated request to the endpoint with a valid bearer token, because the API route is protected only by the auth:api middleware and carries no permission gate, unlike the equivalent web route, which enforces can('read bank'), and the handler resolves records with Account::where('company_id', Auth::user()->company_id)->get(), performing only company scoping and no role or permission check before returning the data. This results in the unauthorized disclosure of sensitive banking information (e.g. IBAN, SWIFT/BIC, account identifiers) to users who should not have access to it.