CVE-2026-114519

اسم البرنامج المصاب والإصدارات المتأثرة Roskus Prospero Flow CRM الإصدارات من 2.0.0 إلى 5.25.0

Description يوجد خلل في التصريح في واجهة برمجة تطبيقات المستخدم يسمح لمستخدم بصلاحيات أساسية بالوصول إلى حسابات مستخدمين آخرين داخل نفس الشركة، بما في ذلك الحسابات ذات الصلاحيات الأعلى. وفي الإصدارات 3.5.0 وما بعدها، يسمح هذا أيضًا بحذف هذه الحسابات. تكمن المشكلة في أن نقاط النهاية 'GET /api/user/{id}' و 'DELETE /api/user/{id}' تتحقق فقط من صحة رمز JSON Web Token عبر برمجية auth:api الوسيطة دون التحقق من أذونات أو سياسات أو أدوار محددة في الدالتين UserReadController::read() و UserDeleteController::delete(). وبينما يتم تقييد الوصول عادةً حسب الشركة، فإن عملية الحذف تتجاوز التحقق من الشركة إذا كان المستخدم المصرح له ينتمي إلى Company::DEFAULT COMPANY مما يمكن مستخدمًا أساسيًا في تلك الشركة من حذف أي حساب في كامل التثبيت. قد يؤدي ذلك إلى تسريب بيانات شخصية مثل عناوين البريد الإلكتروني وأرقام الهواتف والعناوين البريدية وأرقام IBAN، واحتمالية حذف آخر حساب إداري للشركة.

Recommendations تحديث Roskus Prospero Flow CRM إلى الإصدار 5.26.0 أو إصدار أحدث. كإجراء مؤقت، قم بتقييد الوصول إلى نقاط النهاية 'GET /api/user/{id}' و 'DELETE /api/user/{id}'.