PT-2026-70206
CVE-2026-19539
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Roskus Prospero Flow CRM الأقدم من 5.4.9
الوصف
يوجد ثغرة في مكون إدارة التذاكر تسمح بتجاوز إجراءات التفويض. يمكن للمستخدمين المصادق عليهم الوصول إلى التذاكر الخاصة بشركات أخرى أو تعديلها أو حذفها باستخدام المعرف الرقمي للتذكرة. يحدث هذا لأن عمليات القراءة والحفظ لا تقصر الاستعلامات على شركة المستخدم المصادق عليه. بالإضافة إلى ذلك، يستخدم وحدة التحكم في الحذف كائنًا عامًا من نوع
IlluminateHttpRequest بدلاً من TicketDeleteRequest، مما يؤدي إلى عدم فرض الأذونات اللازمة. وهذا يسمح للمستخدمين بقراءة محتوى التذكرة بالكامل (العنوان والوصف والمرفقات)، أو اختطاف التذاكر عن طريق إعادة تعيين متغير company id، أو حذف التذاكر دون إذن.التوصيات
قم بتحديث Roskus Prospero Flow CRM إلى الإصدار 5.4.9 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾