CVE-2026-59240 in Prospero Flow CRM
الملخص
بحسب VulDB • 28/07/2026
يتضمن هذا الثغرة أمنية نقصاً في التحكم المباشر بالإشارة إلى الكائن (Insecure Direct Object Reference - IDOR) داخل الدالة `DeleteNotificationController::delete()` عند نقطة النهاية `GET /notification/delete/{id}`. تتيح هذه العيب لأي مستخدم مُصادق عليه، بغض النظر عن الشركة أو الصلاحيات الممنوحة له، حذف الإشعارات التابعة لأي مستخدم آخر في النظام. يسترجع المتحكم (controller) السجل المستهدف باستخدام `Notification::findOrFail($id)` ويقوم بحذفه دون التحقق من ملكية الحقول `user_id` أو `company_id`. وعلى عكس متحكم الأشقاء `SetNotificationReadAjaxController`، الذي يطبق بشكل صحيح نطاق البحث بناءً على `Auth::id()`، فإن هذا المتحكم يفتقر إلى هذه الضوابط. ونظراً لأن معرفات الإشعارات تسلسلية، يمكن للمهاجم تكرار قيم المعرفات لحذف إشعارات تابعة لأي مستخدم بشكل منهجي، مما يحرمهم من رؤية تنبيهات التذاكر (tickets)، وتعيين المهام، وأحداث النظام الأخرى.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.