CVE-2026-78365
KrytyczneCVSS 9.3Streszczenie
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w API dostawcy w Roskus Prospero Flow CRM w wersjach od 4.0.0 do 5.3.1 pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt i modyfikację rekordu dostawcy innej firmy oraz na przypisanie go do własnej firmy, poprzez żądanie PUT do /api/supplier/{id} z ustawieniem company_id w treści.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych dostawców innych firm, możliwość ich modyfikacji lub przejęcia, co może prowadzić do naruszenia poufności, integralności i dostępności danych w systemie CRM.
Rekomendacja
Zaleca się natychmiastową aktualizację Roskus Prospero Flow CRM do wersji nowszej niż 5.3.1, która zawiera poprawkę dla tej podatności, oraz wdrożenie kontroli dostępu opartej na właścicielu rekordu.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key in the supplier API in Roskus Prospero Flow CRM 4.0.0 through 5.3.1 allows any authenticated user to read and modify another company's supplier record, and to reassign it to their own company, via a PUT request to /api/supplier/{id} setting company_id in the body.