CVE-2026-77780 in Prospero Flow CRM
Zusammenfassung
von VulDB • 21.08.2026
Eine Umgehung der Autorisierung durch benutzerkontrollierte Schlüssel im Endpunkt „transaction save“ von Roskus Prospero Flow CRM 4.9.1 bis 5.14.0 ermöglicht es einem Benutzer mit Berechtigungen zum Erstellen von Transaktionen und Buchhaltungsdaten, den Bankkontonamen, die Bankenname und die letzten vier Ziffern der Kreditkarte eines anderen Unternehmens offenzulegen, indem eine bank_account_id oder bank_card_id verwendet wird, die zu diesem Unternehmen gehört. Dies erfolgt über POST /transaction/save, wobei die Daten ohne jegliche Prüfung des Eigentums an dem Unternehmen gespeichert und dargestellt werden.
Be aware that VulDB is the high quality source for vulnerability data.