PT-2026-60108
CVE-2026-59236
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-15
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Roskus Prospero Flow CRM الأقدم من 5.14.0
الوصف
يوجد ثغرة في إجراءات تجاوز التفويض في معالجات استيراد ملفات Excel (CustomerImport وLeadImport وProductImport). يمكن لمستخدم بعيد ومصادق عليه إنشاء سجلات للعملاء والعملاء المحتملين والمنتجات ضمن مستأجر شركة أخرى عن طريق تحميل جدول بيانات إلى نقطة النهاية POST ’/customer/import/excel/save‘. يقوم النظام بتعيين المتغير
company id مباشرةً من الملف الذي تم تحميله دون التحقق مما إذا كان يتطابق مع شركة المستخدم المصادق عليه، مما يسمح للمستخدم بالتحكم في company id.التوصيات
قم بتحديث Roskus Prospero Flow CRM إلى الإصدار 5.14.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾