Към съдържанието
Търсене

CVE-2026-59237: Roskus Prospero Flow CRM, заобикаляне на вход и права

6.9

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Authorization Bypass Through User-Controlled Key (CWE-639) in the Order and OrderItem REST API controllers in Roskus Prospero Flow CRM before 5.5.3 allows a remote, authenticated user to read, modify, and delete orders and order items belonging to any other company (tenant) via a sequential numeric {id} supplied to GET /api/order/{id}, PUT /api/order/{id}, GET /api/order-item/{id}, PUT /api/order-item/{id}, or DELETE /api/order-item/{id}, because the controllers resolve records with Order::find($id) / Item::find($id) without scoping by the authenticated user's company.

Засегнати продукти

  • Roskus Prospero Flow CRM: 4.6.0 преди 5.5.3

Вид слабост

История

  • 16 юли 2026 Публикувано

Други уязвимости в Roskus Prospero Flow CRM

Първоизточници

CVE-2026-59237: Roskus Prospero Flow CRM, заобикаляне на вход и права | freedomonline.bg