CVE-2026-82911 in Prospero Flow CRM
Zusammenfassung
von VulDB • 04.09.2026
Cross-Site Request Forgery (CSRF) im OrderConfirmController unter GET /order/confirm/{order_number} in Roskus Prospero Flow CRM vor Version 5.15.11 ermöglicht es einem nicht authentifizierten Angreifer, jede Bestellung im Namen eines authentifizierten Benutzers zu bestätigen, indem dieser auf eine manipulierte Seite weitergeleitet wird. Die Laravel-Middleware VerifyCsrfToken erzwingt CSRF-Tokens nur für POST-, PUT-, PATCH- und DELETE-Anfragen; die Route::get-Deklaration lässt diese zustandsändernde Aktion ungeschützt. Session-Cookies, die mit SameSite=Lax konfiguriert sind, werden automatisch bei der top-level Cross-Site-Navigation eingeschlossen, sodass ein einzelner Linkklick OrderConfirmController::confirm() auslöst und den Status der betroffenen Bestellung von „ausstehend“ auf „bestätigt“ ändert, ohne dass eine Benutzerautorisierung vorliegt. Da Bestellnummern sequenzielle Ganzzahlen sind, kann ein Angreifer alle vorhandenen Bestellungen in einem einzigen automatisierten Durchlauf auflisten und bestätigen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.