CVE-2026-19539 in Prospero Flow CRM
요약
\~에 의해 VulDB • 2026. 08. 11.
Roskus Prospero Flow CRM 5.4.9 미만의 버전에서 티켓 관리 컴포넌트의 사용자 제어 키를 통한 권한 우회 취약점으로 인해, 인증된 모든 회사의 사용자가 다른 회사에 속한 티켓의 전체 콘텐츠(제목, 설명 및 첨부 파일)를 읽을 수 있고, company_id를 재할당하여 다른 회사의 티켓을 하이재킹하며, 어떤 권한 확인 없이도 다른 회사의 티켓을 삭제할 수 있습니다. 이는 읽기 및 저장 작업이 인증된 사용자의 회사로 쿼리를 제한하지 않고 레코드를 검색하고, 삭제 컨트롤러가 필요한 권한을 강제하는 TicketDeleteRequest 대신 일반적인 Illuminate\Http\Request를 타입 힌팅하기 때문에 발생합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.