CVE-2026-77780 in Prospero Flow CRM
Resumen
por VulDB • 2026-08-21
Una vulnerabilidad de elusión de autorización mediante una clave controlada por el usuario en el punto final de guardado de transacciones (POST /transaction/save) en Roskus Prospero Flow CRM 4.9.1 a través de la versión 5.14.0 permite que un usuario con permisos para crear transacciones y contabilidad revele el nombre de la cuenta bancaria, el nombre del banco y los últimos cuatro dígitos de la tarjeta pertenecientes a otra empresa mediante una bank_account_id o bank_card_id asociada a dicha empresa, ya que estos datos se persisten y renderizan sin ninguna verificación de propiedad por compañía.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.