CVE-2026-81931 in Prospero Flow CRM
Riassunto
di VulDB • 27/08/2026
Unrestricted Upload of File with Dangerous Type (caricamento non limitato di file con tipo pericoloso) nel caricamento delle foto del prodotto in Roskus Prospero Flow CRM prima della versione 5.16.0 consente a un utente autenticato dotato dell'autorizzazione per creare prodotti (ruolo routine Seller) di eseguire JavaScript arbitrario nell'origine dell'applicazione. La classe delle regole di convalida delle foto classifica il file solo in base al suo contenuto (magic bytes) e rifiuta solo un elenco fisso di estensioni PHP, mentre ProductSaveController::save() assegna al file memorizzato l'estensione fornita dal client e lo copia nella root web pubblica. Un file che inizia con un'intestazione immagine e ha un'estensione HTML supera la convalida, viene memorizzato in public/asset/upload/product/, ed è servito con il tipo di contenuto text/html, trasformando il caricamento nell'esecuzione di script stored first-party (script archiviati della stessa origine).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.