CVE-2026-59236
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w Prospero Flow CRM przed wersją 5.14.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie autoryzacji poprzez kontrolowany klucz (CWE-639) w mechanizmie importu plików Excel. Atakujący może tworzyć rekordy klientów, leadów i produktów w dzierżawie innej firmy, przesyłając arkusz kalkulacyjny z odpowiednio ustawioną kolumną company_id.
Ocena ryzyka
Ryzyko polega na możliwości naruszenia izolacji danych między firmami (tenantami) w systemie CRM, co może prowadzić do nieautoryzowanego dostępu do danych, manipulacji nimi oraz potencjalnych strat finansowych i reputacyjnych.
Rekomendacja
Należy niezwłocznie zaktualizować Prospero Flow CRM do wersji 5.14.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie funkcji importu Excel dla wszystkich użytkowników.
Inne podatności w Prospero Flow CRM
Zobacz wszystkie- CVE-2026-77780Średnie
Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.
- CVE-2026-77759Wysokie
Roskus Prospero Flow CRM w wersjach 5.0.0 do 5.3.5 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz w API transakcji. Uwierzytelniony użytkownik może odczytać transakcje innych firm na tej samej instancji, używając zwiększonego identyfikatora w GET /api/transaction/{id}, bez sprawdzania zakresu firmy i bez żadnej kontroli uprawnień.
- CVE-2026-59237Średnie
Podatność pozwala uwierzytelnionemu użytkownikowi na ominięcie autoryzacji poprzez manipulację identyfikatorem numerycznym w endpointach REST API. Kontrolery Order i OrderItem w Prospero Flow CRM przed wersją 5.5.3 nie sprawdzają przynależności rekordu do firmy użytkownika, co umożliwia odczyt, modyfikację i usuwanie zamówień oraz pozycji zamówień innych firm.
- CVE-2026-59235Wysokie
W Prospero Flow CRM w wersji poniżej 5.5.3 wykryto brak autoryzacji w kontrolerze BankAccountListController. Uwierzytelniony atakujący z niskimi uprawnieniami może odczytać dane bankowe firmy, wysyłając żądanie do API bez wymaganego sprawdzenia roli.
- CVE-2026-59234Średnie
Podatność w Prospero Flow CRM przed wersją 5.5.3 umożliwia uwierzytelnionemu atakującemu usunięcie dowolnych wydarzeń kalendarza innych użytkowników poprzez manipulację parametrem {id} w żądaniu GET do /calendar/event/delete/{id}. Brak kontroli własności (user_id/company_id) przed usunięciem prowadzi do nieautoryzowanego zniszczenia danych.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key (CWE-639) in the Excel import handlers (CustomerImport, LeadImport, ProductImport) in Roskus Prospero Flow CRM before 5.14.0 allows a remote, authenticated user of any role or company to create customer, lead, and product records inside another company's tenant via a spreadsheet whose company_id column points to the victim tenant, uploaded to POST /customer/import/excel/save, which maps company_id directly from the file and performs no check that it matches the authenticated user's company.