Secur0 Cna

Cross-Site Request Forgery (CSRF) in the OrderConfirmController at GET /order/confirm/{order number} in Roskus Prospero Flow CRM before 5.15.11 allows an unauthenticated attacker to confirm any order on behalf of an authenticated user by directing them to a crafted page. Laravel's VerifyCsrfToken middleware enforces CSRF tokens only on POST, PUT, PATCH, and DELETE requests; the Route::get declaration leaves this state-changing action unprotected. Session cookies configured with SameSite=Lax are automatically included in top-level cross-site navigation, so a single link click triggers OrderConfirmController::confirm() and transitions the target order from pending to confirmed without user authorization. Because order numbers are sequential integers, an attacker can enumerate and confirm all existing orders in a single automated sweep.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.16.0 **Description** Um problema de upload de arquivo irrestrito existe no recurso de upload de fotos de produtos. Um usuário autenticado com permissão para criar produtos, como a função de Vendedor, pode executar JavaScript arbitrário na origem da aplicação. O sistema valida os arquivos com base em magic bytes (assinaturas de conteúdo) e rejeita apenas uma lista específica de extensões PHP. No entanto, a função `ProductSaveController::save()` utiliza a extensão fornecida pelo cliente ao salvar o arquivo na raiz pública da web. Consequentemente, um arquivo que contenha um cabeçalho de imagem, mas utilize uma extensão HTML, pode ser enviado para `public/asset/upload/product/` e servido como `text/html`, resultando em cross-site scripting (XSS) armazenado, onde um script malicioso é permanentemente armazenado no servidor e executado no navegador dos usuários que visualizam o arquivo. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.16.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 4.0.0 through 5.3.1 **Description** Existe uma falha de bypass de autorização na API de fornecedores que permite que um usuário autenticado leia, modifique e reatribua registros de fornecedores de outras empresas para a sua própria. Isso é feito enviando uma requisição PUT para o endpoint '/api/supplier/{id}' e manipulando a variável `company id` no corpo da requisição. **Recommendations** Atualize o Roskus Prospero Flow CRM para uma versão posterior à 5.3.1. Restrinja o uso do parâmetro `company id` no endpoint '/api/supplier/{id}' para evitar a reatribuição não autorizada de registros.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.13 **Description** Existe um problema no recurso de upload de logotipo da empresa onde o sistema falha em restringir o upload de tipos de arquivos perigosos. Um usuário autenticado com permissões para criar ou atualizar empresas pode fazer o upload de um documento SVG contendo um elemento de script incorporado, levando à execução de JavaScript arbitrário na origem da aplicação. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 5.0.0 through 5.3.5 **Description** Existe uma falha de bypass de autorização na API de transações que permite que um usuário autenticado leia registros financeiros de outras empresas na mesma instância. Isso ocorre porque o sistema não implementa o escopo da empresa ou verificações de permissão ao processar as solicitações. O problema é acionado por meio de um identificador incrementado no endpoint GET '/api/transaction/{id}', afetando especificamente a variável `id`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões 4.9.1 through 5.14.0 **Description** Existe uma falha de bypass de autorização no endpoint de salvamento de transações. Um usuário com permissões de criação de transações e contabilidade pode expor informações bancárias sensíveis de outra empresa, incluindo o nome da conta bancária, o nome do banco e os últimos quatro dígitos do cartão. Isso ocorre quando um `bank account id` ou `bank card id` pertencente a outra empresa é fornecido no endpoint POST '/transaction/save', pois o sistema persiste e renderiza os dados sem verificar a propriedade da empresa. **Recommendations** Atualize o Roskus Prospero Flow CRM para uma versão posterior à 5.14.0. Como medida de mitigação temporária, restrinja as permissões de usuário para criação de transações e contabilidade apenas a pessoal confiável.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões 1.2.0 through 2.3.2 **Description** O sanitizador de CSS do tema de relatório apresenta uma ordem de comportamento incorreta, onde a validação ocorre antes da canonicalização. Isso permite que um usuário autenticado ignore a lista de bloqueio do sanitizador utilizando escapes hexadecimais de CSS para reconstruir a função `url()`. Consequentemente, isso pode ser utilizado para forçar requisições HTTP externas a partir dos navegadores de outros usuários, resultando na divulgação de seus endereços IP e strings de User-Agent. **Recommendations** Atualize o maalfer Pentestify para uma versão posterior à 2.3.2.

**Nome do Software Vulnerável e Versões Afetadas** maalfer MailerUp versões anteriores a 1.1.3 **Description** Um problema de injeção de HTML existe no formulário de inscrição pública. Atacantes remotos não autenticados podem fazer com que a aplicação envie uma mensagem contendo HTML arbitrário para um endereço especificado, aparentando vir da identidade de envio configurada pelo proprietário do formulário. Isso ocorre porque o campo `first name` da solicitação de inscrição é interpolado sem escape no e-mail de verificação de double opt-in. **Recommendations** Atualize o maalfer MailerUp para a versão 1.1.3 ou posterior. Como mitigação temporária, restrinja ou sanitize a entrada do campo `first name` no formulário de inscrição.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.9 **Description** O componente de recursos humanos contém credenciais codificadas. Atacantes remotos não autenticados podem se autenticar como qualquer funcionário integrado através do fluxo padrão, fornecendo apenas o endereço de e-mail do funcionário. Isso ocorre porque o controlador de salvamento de funcionários utiliza a senha padrão `changeme` e o formulário de integração não possui um campo de senha. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.15.10 **Description** Existe uma falha de bypass de autorização no módulo de folha de pagamento onde a consulta de listagem não é limitada à empresa do solicitante e o identificador do funcionário é validado por existência global em vez de pertencer à empresa. Isso permite que usuários autenticados com permissões de leitura de folha de pagamento visualizem detalhes salariais e bancários de funcionários de qualquer outra empresa na instância. Além disso, usuários com permissões de criação de folha de pagamento podem criar registros de pagamento atribuídos a funcionários de outras empresas. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.15.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.7 **Descrição** Existe uma falha de bypass de autorização no componente de gerenciamento de produtos. Usuários autenticados podem acessar dados sensíveis, incluindo preço, custo, estoque, SKU e código de barras, pertencentes a outras empresas. Além disso, os usuários podem sequestrar produtos ao reatribuir o `company id` usando o identificador numérico do produto. Isso ocorre porque o `ProductUpdateController` não estende o `MainController`, resultando na ausência de verificações de autenticação no endpoint de leitura. Além disso, a função `ProductRepository::save()` utiliza `Product::find($data['id'])` para recuperar registros sem verificar se o produto pertence à empresa do usuário autenticado antes de atualizar a variável `company id`. **Recomendações** Atualize o Roskus Prospero Flow CRM para a versão 5.4.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões anteriores a 2.3.2 **Description** Ocorre Cross-site Scripting no renderizador de Markdown quando usuários autenticados fornecem um link Markdown contendo aspas duplas na URL. Este caractere fecha o atributo href da âncora porque o processo de sanitização não escapa as aspas, permitindo a execução de JavaScript arbitrário na origem da aplicação. **Recommendations** Atualize o maalfer Pentestify para a versão 2.3.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões anteriores a 1.1.1 **Description** Um problema de cross-site scripting (XSS) armazenado existe no componente de gerenciamento de usuários. Um invasor autenticado pode executar JavaScript arbitrário no navegador de outro usuário autenticado ao fornecer um nome de usuário manipulado. Isso ocorre porque o frontend utiliza a função `escapeHTML()` antes de interpolar o nome de usuário no atributo `onclick` do botão de exclusão de conta. Como os navegadores decodificam valores de atributos HTML antes que o mecanismo de JavaScript analise o manipulador, uma aspa simples (') codificada pode ser usada para romper a literal de string e injetar código malicioso que é executado quando a vítima clica no botão de exclusão. **Recommendations** Atualize para a versão 1.1.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões anteriores a 2.3.1 **Description** Usuários autenticados podem executar JavaScript arbitrário na origem da aplicação devido a um problema de Cross-site Scripting no renderizador de descobertas. Isso ocorre quando a marcação HTML armazenada no campo `severity` de uma descoberta é interpolada sem a devida sanitização nos atributos de classe e estilo durante a renderização do relatório. **Recommendations** Atualize o maalfer Pentestify para a versão 2.3.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.9 **Description** Existe uma falha de bypass de autorização no componente de gerenciamento de tickets. Usuários autenticados podem acessar, modificar ou excluir tickets pertencentes a outras empresas usando o identificador numérico do ticket. Isso ocorre porque as operações de leitura e salvamento não restringem as consultas à empresa do usuário autenticado. Além disso, o controlador de exclusão utiliza um `IlluminateHttpRequest` genérico em vez do `TicketDeleteRequest`, o que falha em impor as permissões necessárias. Isso permite que usuários leiam o conteúdo completo do ticket (título, descrição e anexos), sequestrem tickets reatribuindo a variável `company id` ou excluam tickets sem autorização. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.8 **Description** Existe uma falha de bypass de autorização no componente de gerenciamento de contatos. Usuários autenticados podem sobrescrever dados de contatos de outras empresas ou baixar dados pessoais como um vCard ao manipular o identificador numérico do contato. Isso ocorre porque as operações de salvamento e exportação recuperam registros sem restringir a consulta à empresa associada ao usuário autenticado. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.2.1 **Description** O componente de gerenciamento de permissões contém uma falha na qual o endpoint de salvamento de permissões não realiza verificações de autorização. Isso permite que qualquer usuário autenticado conceda a qualquer função, incluindo a sua própria, o conjunto completo de permissões do aplicativo enviando uma requisição POST manipulada para o endpoint, que então sincroniza as permissões enviadas com a função especificada. **Recommendations** Atualize para a versão 5.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.3.7 **Descrição** Usuários autenticados com permissões para criar ou atualizar leads podem executar JavaScript arbitrário na origem da aplicação. Isso ocorre na visualização de índice de leads quando marcações HTML armazenadas no campo de nome do lead são renderizadas através da diretiva de saída não escapada do Blade e inseridas dentro de uma literal de string JavaScript em um atributo `onclick`. **Recomendações** Atualize o Roskus Prospero Flow CRM para a versão 5.3.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões anteriores a 1.1.0 **Description** Um problema no componente de exportação de PDF permite que usuários autenticados disparem requisições HTTP GET externas do servidor para destinos arbitrários. Isso ocorre porque o navegador headless do lado do servidor busca URLs não validadas armazenadas no campo `finding images` ou no campo `report client logo` durante a renderização do relatório. Server-Side Request Forgery (SSRF) é uma falha onde um invasor pode forçar um servidor a fazer requisições para um local não pretendido. **Recommendations** Atualize o maalfer Pentestify para a versão 1.1.0 ou posterior. Restrinja o uso dos campos `finding images` e `report client logo` a fontes confiáveis até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.4.4 **Description** O módulo de e-mail contém um problema de cross-site scripting armazenado. Um usuário remoto autenticado com baixos privilégios pode executar JavaScript arbitrário no navegador de outro usuário, incluindo administradores, ao armazenar um payload malicioso no corpo de um e-mail. Isso ocorre porque o corpo do e-mail é persistido sem sanitização e renderizado sem escape usando `{!! $email->body !!}` quando o destinatário abre a mensagem, o que pode levar ao comprometimento da sessão e à tomada de conta da conta. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.4.4 ou posterior.