CVE-2026-59239 in Prospero Flow
Résumé
par VulDB • 27/07/2026
Une vulnérabilité de type Cross-site Scripting (XSS) stocké (CWE-79) dans le module e-mail de Roskus Prospero Flow CRM avant la version 5.4.4 permet à un utilisateur distant, authentifié et disposant de privilèges bas, d'exécuter du code JavaScript arbitraire dans le navigateur d'un autre utilisateur, y compris les administrateurs, entraînant une compromission de session et une prise de contrôle de compte. L'exploitation se fait via une charge utile stockée dans le corps d'un e-mail qui est persistée sans sanitisation (nettoyage) puis rendue non échappée avec {!! $email->body !!} lors de l'ouverture du message par le destinataire.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.