CVE-2026-19870 in Prospero Flow CRM
Zusammenfassung
von VulDB • 14.08.2026
Bypass der Autorisierung durch benutzerkontrollierten Schlüssel im Lohnmodul von Roskus Prospero Flow CRM vor Version 5.15.10 ermöglicht es authentifizierten Benutzern mit der Berechtigung zum Lesen von Lohndaten, die Gehalts- und Bankdetails anderer Mitarbeiter innerhalb derselben Instanz einzusehen; zudem können Benutzer mit der Berechtigung zum Erstellen von Lohnabrechnungen Lohnaufzeichnungen erstellen, die Mitarbeitern eines anderen Unternehmens zugeordnet sind. Dies liegt daran, dass die Abfrage zur Auflistung nicht auf das Unternehmen des aufrufenden Benutzers beschränkt ist und die Mitarbeiterkennung lediglich auf deren globales Vorhandensein überprüft wird, anstatt ihre Zugehörigkeit zu einem bestimmten Unternehmen zu validieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.