CVE-2026-59237
ŚrednieCVSS 6.9Streszczenie
Podatność pozwala uwierzytelnionemu użytkownikowi na ominięcie autoryzacji poprzez manipulację identyfikatorem numerycznym w endpointach REST API. Kontrolery Order i OrderItem w Prospero Flow CRM przed wersją 5.5.3 nie sprawdzają przynależności rekordu do firmy użytkownika, co umożliwia odczyt, modyfikację i usuwanie zamówień oraz pozycji zamówień innych firm.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych zamówień innych klientów (tenantów), co może prowadzić do wycieku poufnych informacji, manipulacji danymi biznesowymi oraz naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Prospero Flow CRM do wersji 5.5.3 lub nowszej, która zawiera poprawkę ograniczającą dostęp do rekordów na podstawie firmy uwierzytelnionego użytkownika.
Inne podatności w Prospero Flow CRM
Zobacz wszystkie- CVE-2026-77780Średnie
Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.
- CVE-2026-77759Wysokie
Roskus Prospero Flow CRM w wersjach 5.0.0 do 5.3.5 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz w API transakcji. Uwierzytelniony użytkownik może odczytać transakcje innych firm na tej samej instancji, używając zwiększonego identyfikatora w GET /api/transaction/{id}, bez sprawdzania zakresu firmy i bez żadnej kontroli uprawnień.
- CVE-2026-59236Średnie
Podatność w Prospero Flow CRM przed wersją 5.14.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie autoryzacji poprzez kontrolowany klucz (CWE-639) w mechanizmie importu plików Excel. Atakujący może tworzyć rekordy klientów, leadów i produktów w dzierżawie innej firmy, przesyłając arkusz kalkulacyjny z odpowiednio ustawioną kolumną company_id.
- CVE-2026-59235Wysokie
W Prospero Flow CRM w wersji poniżej 5.5.3 wykryto brak autoryzacji w kontrolerze BankAccountListController. Uwierzytelniony atakujący z niskimi uprawnieniami może odczytać dane bankowe firmy, wysyłając żądanie do API bez wymaganego sprawdzenia roli.
- CVE-2026-59234Średnie
Podatność w Prospero Flow CRM przed wersją 5.5.3 umożliwia uwierzytelnionemu atakującemu usunięcie dowolnych wydarzeń kalendarza innych użytkowników poprzez manipulację parametrem {id} w żądaniu GET do /calendar/event/delete/{id}. Brak kontroli własności (user_id/company_id) przed usunięciem prowadzi do nieautoryzowanego zniszczenia danych.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key (CWE-639) in the Order and OrderItem REST API controllers in Roskus Prospero Flow CRM before 5.5.3 allows a remote, authenticated user to read, modify, and delete orders and order items belonging to any other company (tenant) via a sequential numeric {id} supplied to GET /api/order/{id}, PUT /api/order/{id}, GET /api/order-item/{id}, PUT /api/order-item/{id}, or DELETE /api/order-item/{id}, because the controllers resolve records with Order::find($id) / Item::find($id) without scoping by the authenticated user's company.