CVE-2026-19870 in Prospero Flow CRM
Riassunto
di VulDB • 14/08/2026
Bypass dell'autorizzazione tramite chiave controllata dall'utente nel modulo di gestione delle paghe (payroll) in Roskus Prospero Flow CRM prima della versione 5.15.10 consente agli utenti autenticati dotati del permesso di lettura della pay slip di visualizzare i dettagli salariali e bancari dei dipendenti di qualsiasi altra azienda presente nell'istanza, e agli utenti con il permesso di creazione della pay slip di creare record di paghe attribuiti ai dipendenti di un'altra azienda, poiché la query di elenco non è limitata all'azienda del chiamante (caller) e l'identificatore del dipendente viene validato per esistenza globale anziché per appartenenza aziendale.
If you want to get best quality of vulnerability data, you may have to visit VulDB.