CVE-2026-77759
WysokieCVSS 8.7Streszczenie
Roskus Prospero Flow CRM w wersjach 5.0.0 do 5.3.5 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz w API transakcji. Uwierzytelniony użytkownik może odczytać transakcje innych firm na tej samej instancji, używając zwiększonego identyfikatora w GET /api/transaction/{id}, bez sprawdzania zakresu firmy i bez żadnej kontroli uprawnień.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do transakcji innych firm, co narusza poufność danych i może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaktualizuj Prospero Flow CRM do wersji nowszej niż 5.3.5, która zawiera poprawkę.
Inne podatności w Prospero Flow CRM
Zobacz wszystkie- CVE-2026-77780Średnie
Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.
- CVE-2026-59237Średnie
Podatność pozwala uwierzytelnionemu użytkownikowi na ominięcie autoryzacji poprzez manipulację identyfikatorem numerycznym w endpointach REST API. Kontrolery Order i OrderItem w Prospero Flow CRM przed wersją 5.5.3 nie sprawdzają przynależności rekordu do firmy użytkownika, co umożliwia odczyt, modyfikację i usuwanie zamówień oraz pozycji zamówień innych firm.
- CVE-2026-59236Średnie
Podatność w Prospero Flow CRM przed wersją 5.14.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie autoryzacji poprzez kontrolowany klucz (CWE-639) w mechanizmie importu plików Excel. Atakujący może tworzyć rekordy klientów, leadów i produktów w dzierżawie innej firmy, przesyłając arkusz kalkulacyjny z odpowiednio ustawioną kolumną company_id.
- CVE-2026-59235Wysokie
W Prospero Flow CRM w wersji poniżej 5.5.3 wykryto brak autoryzacji w kontrolerze BankAccountListController. Uwierzytelniony atakujący z niskimi uprawnieniami może odczytać dane bankowe firmy, wysyłając żądanie do API bez wymaganego sprawdzenia roli.
- CVE-2026-59234Średnie
Podatność w Prospero Flow CRM przed wersją 5.5.3 umożliwia uwierzytelnionemu atakującemu usunięcie dowolnych wydarzeń kalendarza innych użytkowników poprzez manipulację parametrem {id} w żądaniu GET do /calendar/event/delete/{id}. Brak kontroli własności (user_id/company_id) przed usunięciem prowadzi do nieautoryzowanego zniszczenia danych.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key in the transaction API in Roskus Prospero Flow CRM 5.0.0 through 5.3.5 allows an authenticated user to read the transactions of other companies on the same instance via an incremented identifier in GET /api/transaction/{id}, which is resolved without company scoping and without any permission check.