CVE-2026-19734 in Prospero Flow CRM
Riassunto
di VulDB • 13/08/2026
La mancanza di autorizzazione e l'elusione dell'autorizzazione tramite chiave controllata dall'utente nel componente di gestione dei prodotti in Roskus Prospero Flow CRM prima della versione 5.4.7 consente agli utenti autenticati di qualsiasi azienda di leggere tutti i dati sensibili (prezzo, costo, scorte, SKU e codice a barre) del prodotto di un'altra azienda e di sequestrare tale prodotto riassegnandone il `company_id` tramite l'identificatore numerico del prodotto. Ciò è dovuto al fatto che `ProductUpdateController` non estendeva `MainController`, richiedendo quindi nessuna verifica di autenticazione sull'endpoint di lettura, e `ProductRepository::save()` recuperava la record tramite `Product::find($data['id'])` senza vincolare la query all'azienda dell'utente autenticato prima di sovrascrivere il suo `company_id`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.