PT-2026-60477
CVE-2026-59237
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-07-16
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Roskus Prospero Flow CRM الأقدم من 5.5.3
الوصف
يوجد ثغرة في تجاوز التفويض في وحدات التحكم في واجهة برمجة التطبيقات REST الخاصة بـ Order و OrderItem. يمكن للمستخدم البعيد والمصادق عليه قراءة وتعديل وحذف الطلبات وعناصر الطلبات الخاصة بشركات أخرى (المستأجرين) عن طريق توفير معرّف رقمي متسلسل
id إلى نقاط النهاية التالية:-
’GET /api/order/{id}‘
-
’PUT /api/order/{id}‘
-
'GET /api/order-item/{id}'
-
’PUT /api/order-item/{id}‘
-
’DELETE /api/order-item/{id}‘
يحدث هذا لأن وحدات التحكم تستخدم الدالتين
Order::find($id) وItem::find($id) لاسترداد السجلات دون تقييد البحث بشركة المستخدم الذي تمت مصادقته.التوصيات
قم بالتحديث إلى الإصدار 5.5.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾