PT-2026-55537
CVE-2026-59234
·
تاريخ النشر
2026-07-03
·
تاريخ التحديث
2026-07-04
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Prospero Flow CRM الأقدم من 5.5.3
الوصف
يوجد ثغرة لتجاوز التفويض في
CalendarDeleteEventController (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) عبر نقطة النهاية GET ’/calendar/event/delete/{id}‘. يمكن لمهاجم بعيد ومصادق عليه حذف أحداث تقويمية عشوائية تخص مستخدمين آخرين من خلال التلاعب بمعلمة المسار {id}. يحدث هذا لأن معالج الحذف يستخدم الدالة Calendar::find($id)->delete() دون إجراء فحوصات للملكية، مثل تحديد النطاق بواسطة user id أو company id، مما يؤدي إلى إتلاف البيانات دون إذن عبر المنصة.التوصيات
قم بتحديث Prospero Flow CRM إلى الإصدار 5.5.3 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/calendar/event/delete/{id}‘.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾