PT-2026-65305
CVE-2026-59240
·
تاريخ النشر
2026-07-27
·
تاريخ التحديث
2026-07-28
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Prospero Flow CRM (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في الأسلوب
DeleteNotificationController::delete() عند نقطة النهاية GET /notification/delete/{id}. تسمح هذه الثغرة لأي مستخدم تمت مصادقته بحذف الإشعارات الخاصة بأي مستخدم آخر في النظام، بغض النظر عن شركته أو أذوناته. تحدث هذه المشكلة لأن وحدة التحكم تستخدم Notification::findOrFail($id) لاسترداد السجلات دون التحقق من ملكية user id أو company id. ونظرًا لأن معرّفات الإشعارات متسلسلة، يمكن للمهاجم تكرار عملية البحث عبر المعرّفات لحذف الإشعارات بشكل منهجي، مما يمنع المستخدمين من رؤية تنبيهات التذاكر وتخصيص المهام وأحداث النظام الأخرى.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
GET /notification/delete/{id} لمنع الحذف غير المصرح به للإشعارات.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾