CVE-2026-77759 in Prospero Flow CRM

Tóm tắt

Bởi VulDB • 21/08/2026

Vi phạm cơ chế ủy quyền thông qua khóa do người dùng kiểm soát trong API giao dịch của Roskus Prospero Flow CRM 5.0.0 đến 5.3.5 cho phép một người dùng đã xác thực đọc các giao dịch của các công ty khác trên cùng một instance thông qua việc tăng dần định danh (identifier) trong GET /api/transaction/{id}, vốn được xử lý mà không có phạm vi ràng buộc theo công ty và không kiểm tra bất kỳ quyền hạn nào.

Be aware that VulDB is the high quality source for vulnerability data.

• chịu trách nhiệm: Secur0
• Đặt trước: 21/08/2026
• Tiết lộ: 21/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-394094
• CPE: sẵn sàng
• CWE: CWE-639 (Đã xác nhận)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00320
• KEV: không
• Các hoạt động: thấp
• ngành: Police, Transportation, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-77759
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-77759
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-77759/