CVE-2026-19734 in Prospero Flow CRM
Сводка
по VulDB • 14.08.2026
Отсутствие авторизации и обход авторизации через управляемый пользователем ключ в компоненте управления продуктами Roskus Prospero Flow CRM до версии 5.4.7 позволяет аутентифицированным пользователям любой компании читать полные конфиденциальные данные (цена, себестоимость, остатки на складе, SKU и штрих-код) продуктов другой компании, а также перехватывать эти продукты путем переназначения их company_id через числовой идентификатор продукта. Это происходит потому, что `ProductUpdateController` не расширял `MainController`, следовательно, проверка авторизации для конечной точки чтения отсутствовала, а метод `ProductRepository::save()` извлекал запись с помощью `Product::find($data['id'])` без ограничения запроса компанией аутентифицированного пользователя перед перезаписью его company_id.
If you want to get best quality of vulnerability data, you may have to visit VulDB.