Gustavo Novaro

Cross-Site Request Forgery (CSRF) in the OrderConfirmController at GET /order/confirm/{order number} in Roskus Prospero Flow CRM before 5.15.11 allows an unauthenticated attacker to confirm any order on behalf of an authenticated user by directing them to a crafted page. Laravel's VerifyCsrfToken middleware enforces CSRF tokens only on POST, PUT, PATCH, and DELETE requests; the Route::get declaration leaves this state-changing action unprotected. Session cookies configured with SameSite=Lax are automatically included in top-level cross-site navigation, so a single link click triggers OrderConfirmController::confirm() and transitions the target order from pending to confirmed without user authorization. Because order numbers are sequential integers, an attacker can enumerate and confirm all existing orders in a single automated sweep.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.16.0 **Description** Um problema de upload de arquivo irrestrito existe no recurso de upload de fotos de produtos. Um usuário autenticado com permissão para criar produtos, como a função de Vendedor, pode executar JavaScript arbitrário na origem da aplicação. O sistema valida os arquivos com base em magic bytes (assinaturas de conteúdo) e rejeita apenas uma lista específica de extensões PHP. No entanto, a função `ProductSaveController::save()` utiliza a extensão fornecida pelo cliente ao salvar o arquivo na raiz pública da web. Consequentemente, um arquivo que contenha um cabeçalho de imagem, mas utilize uma extensão HTML, pode ser enviado para `public/asset/upload/product/` e servido como `text/html`, resultando em cross-site scripting (XSS) armazenado, onde um script malicioso é permanentemente armazenado no servidor e executado no navegador dos usuários que visualizam o arquivo. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.16.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 4.0.0 through 5.3.1 **Description** Existe uma falha de bypass de autorização na API de fornecedores que permite que um usuário autenticado leia, modifique e reatribua registros de fornecedores de outras empresas para a sua própria. Isso é feito enviando uma requisição PUT para o endpoint '/api/supplier/{id}' e manipulando a variável `company id` no corpo da requisição. **Recommendations** Atualize o Roskus Prospero Flow CRM para uma versão posterior à 5.3.1. Restrinja o uso do parâmetro `company id` no endpoint '/api/supplier/{id}' para evitar a reatribuição não autorizada de registros.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.13 **Description** Existe um problema no recurso de upload de logotipo da empresa onde o sistema falha em restringir o upload de tipos de arquivos perigosos. Um usuário autenticado com permissões para criar ou atualizar empresas pode fazer o upload de um documento SVG contendo um elemento de script incorporado, levando à execução de JavaScript arbitrário na origem da aplicação. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 5.0.0 through 5.3.5 **Description** Existe uma falha de bypass de autorização na API de transações que permite que um usuário autenticado leia registros financeiros de outras empresas na mesma instância. Isso ocorre porque o sistema não implementa o escopo da empresa ou verificações de permissão ao processar as solicitações. O problema é acionado por meio de um identificador incrementado no endpoint GET '/api/transaction/{id}', afetando especificamente a variável `id`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 4.9.1 through 5.14.0 **Description** Existe uma falha de bypass de autorização no endpoint de salvamento de transações. Um usuário com permissões de criação de transações e contabilidade pode expor informações bancárias sensíveis de outra empresa, incluindo o nome da conta bancária, o nome do banco e os últimos quatro dígitos do cartão. Isso ocorre quando um `bank account id` ou `bank card id` pertencente a outra empresa é fornecido no endpoint POST '/transaction/save', pois o sistema persiste e renderiza os dados sem verificar a propriedade da empresa. **Recommendations** Atualize o Roskus Prospero Flow CRM para uma versão posterior à 5.14.0. Como medida de mitigação temporária, restrinja as permissões de usuário para criação de transações e contabilidade apenas a pessoal confiável.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.10 **Description** Existe uma falha de bypass de autorização no módulo de folha de pagamento onde a consulta de listagem não é limitada à empresa do solicitante e o identificador do funcionário é validado por existência global em vez de pertencer à empresa. Isso permite que usuários autenticados com permissões de leitura de folha de pagamento visualizem detalhes salariais e bancários de funcionários de qualquer outra empresa na instância. Além disso, usuários com permissões de criação de folha de pagamento podem criar registros de pagamento atribuídos a funcionários de outras empresas. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.9 **Description** O componente de recursos humanos contém credenciais codificadas. Atacantes remotos não autenticados podem se autenticar como qualquer funcionário integrado através do fluxo padrão, fornecendo apenas o endereço de e-mail do funcionário. Isso ocorre porque o controlador de salvamento de funcionários utiliza a senha padrão `changeme` e o formulário de integração não possui um campo de senha. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.7 **Descrição** Existe uma falha de bypass de autorização no componente de gerenciamento de produtos. Usuários autenticados podem acessar dados sensíveis, incluindo preço, custo, estoque, SKU e código de barras, pertencentes a outras empresas. Além disso, os usuários podem sequestrar produtos ao reatribuir o `company id` usando o identificador numérico do produto. Isso ocorre porque o `ProductUpdateController` não estende o `MainController`, resultando na ausência de verificações de autenticação no endpoint de leitura. Além disso, a função `ProductRepository::save()` utiliza `Product::find($data['id'])` para recuperar registros sem verificar se o produto pertence à empresa do usuário autenticado antes de atualizar a variável `company id`. **Recomendações** Atualize o Roskus Prospero Flow CRM para a versão 5.4.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.9 **Description** Existe uma falha de bypass de autorização no componente de gerenciamento de tickets. Usuários autenticados podem acessar, modificar ou excluir tickets pertencentes a outras empresas usando o identificador numérico do ticket. Isso ocorre porque as operações de leitura e salvamento não restringem as consultas à empresa do usuário autenticado. Além disso, o controlador de exclusão utiliza um `IlluminateHttpRequest` genérico em vez do `TicketDeleteRequest`, o que falha em impor as permissões necessárias. Isso permite que usuários leiam o conteúdo completo do ticket (título, descrição e anexos), sequestrem tickets reatribuindo a variável `company id` ou excluam tickets sem autorização. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.8 **Description** Existe uma falha de bypass de autorização no componente de gerenciamento de contatos. Usuários autenticados podem sobrescrever dados de contatos de outras empresas ou baixar dados pessoais como um vCard ao manipular o identificador numérico do contato. Isso ocorre porque as operações de salvamento e exportação recuperam registros sem restringir a consulta à empresa associada ao usuário autenticado. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.2.1 **Description** O componente de gerenciamento de permissões contém uma falha na qual o endpoint de salvamento de permissões não realiza verificações de autorização. Isso permite que qualquer usuário autenticado conceda a qualquer função, incluindo a sua própria, o conjunto completo de permissões do aplicativo enviando uma requisição POST manipulada para o endpoint, que então sincroniza as permissões enviadas com a função especificada. **Recommendations** Atualize para a versão 5.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.3.7 **Descrição** Usuários autenticados com permissões para criar ou atualizar leads podem executar JavaScript arbitrário na origem da aplicação. Isso ocorre na visualização de índice de leads quando marcações HTML armazenadas no campo de nome do lead são renderizadas através da diretiva de saída não escapada do Blade e inseridas dentro de uma literal de string JavaScript em um atributo `onclick`. **Recomendações** Atualize o Roskus Prospero Flow CRM para a versão 5.3.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM (versões afetadas não especificadas) **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) no método `DeleteNotificationController::delete()` no endpoint `GET /notification/delete/{id}`. Esta falha permite que qualquer usuário autenticado exclua notificações pertencentes a qualquer outro usuário no sistema, independentemente de sua empresa ou permissões. O problema ocorre porque o controlador utiliza `Notification::findOrFail($id)` para recuperar registros sem validar a propriedade do `user id` ou `company id`. Como os identificadores de notificação são sequenciais, um invasor pode iterar pelos IDs para excluir sistematicamente notificações, impedindo que os usuários visualizem alertas de tickets, atribuições de tarefas e outros eventos do sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `GET /notification/delete/{id}` para evitar a exclusão não autorizada de notificações.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.4 **Description** O módulo de e-mail contém um problema de cross-site scripting armazenado. Um usuário remoto autenticado com baixos privilégios pode executar JavaScript arbitrário no navegador de outro usuário, incluindo administradores, ao armazenar um payload malicioso no corpo de um e-mail. Isso ocorre porque o corpo do e-mail é persistido sem sanitização e renderizado sem escape usando `{!! $email->body !!}` quando o destinatário abre a mensagem, o que pode levar ao comprometimento da sessão e à tomada de conta da conta. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização nos controladores da API REST Order e OrderItem. Um usuário remoto autenticado pode ler, modificar e excluir pedidos e itens de pedidos pertencentes a outras empresas (tenants) ao fornecer um `id` numérico sequencial para os seguintes endpoints: - 'GET /api/order/{id}' - 'PUT /api/order/{id}' - 'GET /api/order-item/{id}' - 'PUT /api/order-item/{id}' - 'DELETE /api/order-item/{id}' Isso ocorre porque os controladores utilizam as funções `Order::find($id)` e `Item::find($id)` para resolver registros sem restringir a busca à empresa do usuário autenticado. **Recommendations** Atualizar para a versão 5.5.3.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Uma falha de autorização existe no `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) no endpoint GET '/api/bank-account'. Um atacante remoto autenticado com uma função de baixo privilégio, como Usuário, pode ler registros arbitrários de contas bancárias pertencentes à sua empresa. Isso ocorre porque a rota da API é protegida apenas pelo middleware `auth:api` e carece de um controle de permissão, ao contrário da rota web que impõe a verificação `can('read bank')`. O manipulador utiliza `Account::where('company id', Auth::user()->company id)->get()`, que aplica apenas o escopo da empresa sem verificar a função ou as permissões do usuário. Isso resulta na divulgação não autorizada de dados bancários sensíveis, incluindo IBAN, SWIFT/BIC e identificadores de conta. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/api/bank-account' apenas a funções administrativas autorizadas.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.14.0 **Description** Existe uma falha de bypass de autorização nos manipuladores de importação de Excel (CustomerImport, LeadImport e ProductImport). Um usuário remoto autenticado pode criar registros de clientes, leads e produtos dentro do tenant de outra empresa ao fazer o upload de uma planilha para o endpoint POST '/customer/import/excel/save'. O sistema mapeia a variável `company id` diretamente do arquivo enviado sem verificar se ela corresponde à empresa do usuário autenticado, permitindo que o `company id` seja controlado pelo usuário. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.14.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/calendar/event/delete/{id}'.