CVE-2026-78337

W module płac w Roskus Prospero Flow CRM przed wersją 5.15.10 wykryto podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika. Uwierzytelnieni użytkownicy z uprawnieniem do odczytu płac mogą przeglądać dane wynagrodzeń i kont bankowych pracowników innych firm w instancji, a użytkownicy z uprawnieniem do tworzenia płac mogą tworzyć rekordy płac przypisane do pracowników innej firmy. Dzieje się tak, ponieważ zapytanie listujące nie jest ograniczone do firmy wywołującego, a identyfikator pracownika jest weryfikowany pod kątem globalnego istnienia, a nie przynależności do firmy.

Obejście autoryzacji przez klucz kontrolowany przez użytkownika w API dostawcy w Roskus Prospero Flow CRM w wersjach od 4.0.0 do 5.3.1 pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt i modyfikację rekordu dostawcy innej firmy oraz na przypisanie go do własnej firmy, poprzez żądanie PUT do /api/supplier/{id} z ustawieniem company_id w treści.

Użycie twardo zakodowanych poświadczeń w komponencie zasobów ludzkich w Roskus Prospero Flow CRM przed wersją 5.15.9. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny pracownik onboardowany przez standardowy proces, znając tylko jego adres e-mail, ponieważ kontroler zapisu pracownika używa dosłownego hasła "changeme", a formularz onboardingu nie zawiera pola hasła.

Podatność nieograniczonego przesyłania plików o niebezpiecznym typie w przesyłaniu zdjęć produktów w Roskus Prospero Flow CRM przed wersją 5.16.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tworzenia produktów (standardowa rola Sprzedawcy) na wykonanie dowolnego JavaScript w kontekście aplikacji. Reguła walidacji zdjęć klasyfikuje plik tylko na podstawie zawartości (magiczne bajty) i odrzuca tylko stałą listę rozszerzeń PHP, podczas gdy ProductSaveController::save() nazywa przechowywany plik używając rozszerzenia dostarczonego przez klienta i kopiuje go do publicznego katalogu web. Plik zaczynający się od nagłówka obrazu i mający rozszerzenie HTML przechodzi walidację, jest przechowywany w public/asset/upload/product/ i jest serwowany z typem treści text/html, zamieniając przesyłanie w wykonanie skryptu po stronie klienta (stored XSS).

Brak autoryzacji i obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie zarządzania produktami w Roskus Prospero Flow CRM przed wersją 5.4.7. Uwierzytelnieni użytkownicy dowolnej firmy mogą odczytać pełne wrażliwe dane (cenę, koszt, stan magazynowy, SKU i kod kreskowy) produktu innej firmy oraz przejąć ten produkt, przypisując mu własne company_id, poprzez numeryczny identyfikator produktu, ponieważ ProductUpdateController nie rozszerzał MainController i dlatego nie wymagał sprawdzenia uwierzytelnienia na punkcie końcowym odczytu, a ProductRepository::save() pobierał rekord przez Product::find($data['id']) bez ograniczania zapytania do firmy uwierzytelnionego użytkownika przed nadpisaniem jego company_id.

Roskus Prospero Flow CRM przed wersją 5.4.9 ma podatność polegającą na obejściu autoryzacji przez kontrolowany przez użytkownika klucz, co pozwala uwierzytelnionym użytkownikom dowolnej firmy na odczyt, przejęcie i usunięcie zgłoszeń innych firm.

Roskus Prospero Flow CRM przed wersją 5.4.8 ma podatność obejścia autoryzacji w module zarządzania kontaktami, umożliwiającą uwierzytelnionym użytkownikom nadpisywanie danych kontaktowych innych firm i pobieranie ich danych jako vCard.

Brak autoryzacji w komponencie zarządzania uprawnieniami w Roskus Prospero Flow CRM przed wersją 5.2.1 umożliwia każdemu uwierzytelnionemu użytkownikowi nadanie dowolnej roli, w tym własnej, pełnego zestawu uprawnień aplikacji poprzez spreparowane żądanie POST do endpointu zapisu uprawnień, który nie wykonuje żadnej kontroli autoryzacji przed synchronizacją przesłanych uprawnień do określonej roli.

W Roskus Prospero Flow CRM przed wersją 5.3.7 wykryto podatność Cross-site Scripting w widoku indeksu leadów. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia lub aktualizacji leadów mogą wykonać dowolny JavaScript w kontekście aplikacji poprzez znaczniki HTML przechowywane w polu nazwy leadu, które widok renderuje za pomocą nieuciekającego dyrektywy Blade'a oraz wewnątrz literału ciągu JavaScript w atrybucie onclick.

Roskus Prospero Flow CRM przed wersją 5.4.4 ma podatność na Stored XSS w module e-mail. Niskouprzywilejowany użytkownik może zapisać złośliwy JavaScript w treści e-maila, który jest renderowany bez sanityzacji, co pozwala na przejęcie sesji administratora.