CVE-2026-77780
ŚrednieCVSS 5.3Streszczenie
Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.
Ocena ryzyka
Ujawnienie poufnych danych finansowych innych firm, co może naruszyć prywatność i prowadzić do oszustw finansowych.
Rekomendacja
Zaktualizuj Prospero Flow CRM do wersji nowszej niż 5.14.0, która zawiera poprawkę.
Inne podatności w Prospero Flow CRM
Zobacz wszystkie- CVE-2026-77759Wysokie
Roskus Prospero Flow CRM w wersjach 5.0.0 do 5.3.5 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz w API transakcji. Uwierzytelniony użytkownik może odczytać transakcje innych firm na tej samej instancji, używając zwiększonego identyfikatora w GET /api/transaction/{id}, bez sprawdzania zakresu firmy i bez żadnej kontroli uprawnień.
- CVE-2026-59237Średnie
Podatność pozwala uwierzytelnionemu użytkownikowi na ominięcie autoryzacji poprzez manipulację identyfikatorem numerycznym w endpointach REST API. Kontrolery Order i OrderItem w Prospero Flow CRM przed wersją 5.5.3 nie sprawdzają przynależności rekordu do firmy użytkownika, co umożliwia odczyt, modyfikację i usuwanie zamówień oraz pozycji zamówień innych firm.
- CVE-2026-59236Średnie
Podatność w Prospero Flow CRM przed wersją 5.14.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie autoryzacji poprzez kontrolowany klucz (CWE-639) w mechanizmie importu plików Excel. Atakujący może tworzyć rekordy klientów, leadów i produktów w dzierżawie innej firmy, przesyłając arkusz kalkulacyjny z odpowiednio ustawioną kolumną company_id.
- CVE-2026-59235Wysokie
W Prospero Flow CRM w wersji poniżej 5.5.3 wykryto brak autoryzacji w kontrolerze BankAccountListController. Uwierzytelniony atakujący z niskimi uprawnieniami może odczytać dane bankowe firmy, wysyłając żądanie do API bez wymaganego sprawdzenia roli.
- CVE-2026-59234Średnie
Podatność w Prospero Flow CRM przed wersją 5.5.3 umożliwia uwierzytelnionemu atakującemu usunięcie dowolnych wydarzeń kalendarza innych użytkowników poprzez manipulację parametrem {id} w żądaniu GET do /calendar/event/delete/{id}. Brak kontroli własności (user_id/company_id) przed usunięciem prowadzi do nieautoryzowanego zniszczenia danych.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key in the transaction save endpoint in Roskus Prospero Flow CRM 4.9.1 through 5.14.0 allows a user with transaction and accounting creation permissions to disclose another company's bank account name, bank name and card last four digits via a bank_account_id or bank_card_id belonging to that company in POST /transaction/save, which is persisted and rendered without any company ownership check.