PT-2026-71611
CVE-2026-19734
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-08-13
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Roskus Prospero Flow CRM الأقدم من 5.4.7
الوصف
يوجد ثغرة في مكون إدارة المنتجات تسمح بتجاوز إجراءات المصادقة. يمكن للمستخدمين المصادق عليهم الوصول إلى البيانات الحساسة، بما في ذلك السعر والتكلفة والمخزون ورمز المنتج (SKU) والباركود، الخاصة بشركات أخرى. بالإضافة إلى ذلك، يمكن للمستخدمين الاستيلاء على المنتجات عن طريق إعادة تعيين
company id باستخدام المعرف الرقمي للمنتج. يحدث هذا لأن ProductUpdateController لا يمتد من MainController، مما يؤدي إلى عدم وجود فحوصات المصادقة على نقطة النهاية للقراءة. علاوة على ذلك، تستخدم الدالة ProductRepository::save() Product::find($data[’id‘]) لاسترداد السجلات دون التحقق مما إذا كان المنتج ينتمي إلى شركة المستخدم المصادق عليه قبل تحديث المتغير company id.التوصيات
قم بتحديث Roskus Prospero Flow CRM إلى الإصدار 5.4.7 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾