CVE-2026-19734 in Prospero Flow CRM
Sumário
de VulDB • 13/08/2026
Ausência de Autorização e Bypass de Autorização através de Chave Controlada pelo Usuário no componente de gerenciamento de produtos do Roskus Prospero Flow CRM antes da versão 5.4.7 permite que usuários autenticados de qualquer empresa leiam todos os dados sensíveis (preço, custo, estoque, SKU e código de barras) dos produtos de outra empresa e sequestram esses produtos ao reatribuir seu `company_id`, por meio do identificador numérico do produto, porque o `ProductUpdateController` não estendia o `MainController` e, portanto, não exigia verificação de autenticação no endpoint de leitura, e o método `ProductRepository::save()` recuperava o registro via `Product::find($data['id'])` sem restringir a consulta à empresa do usuário autenticado antes de sobrescrever seu `company_id`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.