CVE-2026-82911 in Prospero Flow CRM
요약
\~에 의해 VulDB • 2026. 09. 04.
Roskus Prospero Flow CRM 5.15.11 이전 버전의 GET /order/confirm/{order_number} 엔드포인트에 있는 OrderConfirmController에서 Cross-Site Request Forgery (CSRF) 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 조작된 페이지로 사용자를 유도하여, 인증된 사용자 대신 모든 주문을 확인할 수 있습니다. Laravel의 VerifyCsrfToken 미들웨어는 POST, PUT, PATCH 및 DELETE 요청에 대해서만 CSRF 토큰을 적용하며, Route::get 선언으로 인해 상태 변경 작업이 보호되지 않습니다. SameSite=Lax로 구성된 세션 쿠키는 최상위 크로스 사이트 탐색 시 자동으로 포함되므로, 링크 클릭 한 번으로 OrderConfirmController::confirm()가 트리거되어 대상 주문의 상태를 승인 없이 대기 중(pending)에서 확인됨(confirmed)으로 변경합니다. 주문 번호가 순차적인 정수이므로 공격자는 단일 자동화된 스윕을 통해 모든 기존 주문을 열거하고 확인할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.