CVE-2026-59240 in Prospero Flow CRM
要約
〜によって VulDB • 2026年07月28日
この脆弱性は、エンドポイント `GET /notification/delete/{id}` における `DeleteNotificationController::delete()` メソッドのインセキュア・ダイレクト・オブジェクト・リファレンス（IDOR）に関連しています。この欠陥により、会社や権限に関係なく、認証済みユーザーであれば誰でもシステム内の他のユーザーに属する通知を削除することができます。コントローラーは `Notification::findOrFail($id)` を使用して対象レコードを取得し、`user_id` または `company_id` の所有権を検証せずにそれを削除します。これに対し、兄弟関係にある `SetNotificationReadAjaxController` は正しく `Auth::id()` によって検索スコープを制限しています。通知識別子は連続しているため、攻撃者は ID をイテレートして体系的に任意のユーザーに属する通知を削除でき、チケットアラート、タスク割り当て、その他のシステムイベントへの可視性を奪うことになります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.