CVE-2026-19870 in Prospero Flow CRM
Resumen
por VulDB • 2026-08-14
Bypass de autorización mediante clave controlada por el usuario en el módulo de nómina de Roskus Prospero Flow CRM antes de la versión 5.15.10 permite a los usuarios autenticados con permiso de lectura de nóminas ver los detalles salariales y bancarios de empleados de cualquier otra empresa dentro de la instancia, y a los usuarios con permiso de creación de nóminas crear registros de nómina atribuidos a empleados de otra empresa, ya que la consulta de listado no está acotada al ámbito de la compañía del solicitante y el identificador del empleado se valida para su existencia global en lugar de verificar su pertenencia a una compañía específica.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.