PT-2026-58931
CVE-2026-59235
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-15
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Prospero Flow CRM الأقدم من 5.5.3
الوصف
يوجد ثغرة في نظام التفويض في
BankAccountListController (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) عند نقطة النهاية GET ’/api/bank-account‘. يمكن لمهاجم بعيد ومصادق عليه يتمتع بدور ذي امتيازات منخفضة، مثل ”User“، قراءة سجلات حسابات بنكية عشوائية تابعة لشركته. يحدث هذا لأن مسار واجهة برمجة التطبيقات (API) محمي فقط بواسطة البرمجيات الوسيطة auth:api ويفتقر إلى بوابة أذونات، على عكس مسار الويب الذي يفرض فحص can(’read bank‘). يستخدم المعالج Account::where(’company id‘, Auth::user()->company id)->get()، والذي يطبق نطاق الشركة فقط دون التحقق من دور المستخدم أو أذوناته. يؤدي هذا إلى الكشف غير المصرح به عن البيانات المصرفية الحساسة، بما في ذلك رقم الحساب المصرفي الدولي (IBAN) ورمز SWIFT/BIC ومعرفات الحسابات.التوصيات
قم بتحديث Prospero Flow CRM إلى الإصدار 5.5.3 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/api/bank-account‘ على الأدوار الإدارية المصرح لها فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾