CVE-2026-59240 in Prospero Flow CRM
Zusammenfassung
von VulDB • 28.07.2026
Die Schwachstelle betrifft eine Insecure Direct Object Reference (IDOR) in der Methode `DeleteNotificationController::delete()` am Endpunkt `GET /notification/delete/{id}`. Der Fehler ermöglicht es jedem authentifizierten Benutzer, unabhängig von Firma oder Berechtigungen, Benachrichtigungen zu löschen, die anderen Benutzern im System gehören. Der Controller ruft den Zielsatz mit `Notification::findOrFail($id)` ab und löscht ihn, ohne die Eigentumsverhältnisse an `user_id` oder `company_id` zu validieren, anders als der verwandte `SetNotificationReadAjaxController`, der Suchen korrekt nach `Auth::id()` einschränkt. Da Benachrichtigungs-IDs sequenziell sind, kann ein Angreifer über IDs iterieren, um systematisch Benachrichtigungen aller Benutzer zu löschen und ihnen so die Sichtbarkeit auf Ticket-Warnungen, Aufgabenzuweisungen und andere Systemereignisse vorzuenthalten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.