PT-2026-79384
CVE-2026-77780
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-08-21
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Roskus Prospero Flow CRM من الإصدار 4.9.1 حتى 5.14.0
الوصف
توجد ثغرة تسمح بتجاوز إجراءات التفويض في نقطة نهاية حفظ المعاملات. يمكن للمستخدم الذي يمتلك أذونات إنشاء المعاملات والعمليات المحاسبية الكشف عن معلومات مصرفية حساسة تخص شركة أخرى، بما في ذلك اسم الحساب المصرفي واسم البنك والأرقام الأربعة الأخيرة لرقم البطاقة. يحدث هذا عندما يتم توفير معرّف الحساب المصرفي (
bank account id) أو معرّف البطاقة المصرفية (bank card id) الخاص بشركة أخرى في نقطة النهاية POST ’/transaction/save‘، حيث يقوم النظام بحفظ البيانات وعرضها دون التحقق من ملكية الشركة.التوصيات
قم بتحديث Roskus Prospero Flow CRM إلى إصدار أحدث من 5.14.0.
كإجراء تخفيفي مؤقت، قم بتقييد أذونات المستخدمين لإنشاء المعاملات والسجلات المحاسبية على الموظفين الموثوق بهم فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾