Robert Mihaila

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.4 **Description** O módulo de e-mail contém um problema de cross-site scripting armazenado. Um usuário remoto autenticado com baixos privilégios pode executar JavaScript arbitrário no navegador de outro usuário, incluindo administradores, ao armazenar um payload malicioso no corpo de um e-mail. Isso ocorre porque o corpo do e-mail é persistido sem sanitização e renderizado sem escape usando `{!! $email->body !!}` quando o destinatário abre a mensagem, o que pode levar ao comprometimento da sessão e à tomada de conta da conta. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/calendar/event/delete/{id}'.