CVE-2026-59240 in Prospero Flow CRM
요약
\~에 의해 VulDB • 2026. 07. 28.
이 취약점은 엔드포인트 `GET /notification/delete/{id}`의 `DeleteNotificationController::delete()` 메서드에 있는 비인가 직접 객체 참조(Insecure Direct Object Reference, IDOR)와 관련이 있습니다. 이 결함으로 인해 인증된 사용자라면 회사 소속이나 권한 여부와 상관없이 시스템 내 다른 모든 사용자의 알림을 삭제할 수 있습니다. 해당 컨트롤러는 `user_id` 또는 `company_id`의 소유권을 검증하지 않고 `Notification::findOrFail($id)`를 사용하여 대상 레코드를 검색한 후 삭제합니다. 반면, 형제 컨트롤러인 `SetNotificationReadAjaxController`는 `Auth::id()`로 조회 범위를 올바르게 제한하고 있습니다. 알림 식별자가 순차적으로 할당되므로 공격자는 ID를 반복하여 시스템 내 모든 사용자의 알림을 체계적으로 삭제할 수 있으며, 이로 인해 해당 사용자들은 티켓 경고, 작업 할당 및 기타 시스템 이벤트에 대한 가시성을 상실하게 됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.