CVE-2026-114519

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões 2.0.0 até 5.25.0

Description Uma falha de autorização na API de usuário permite que um usuário com função básica acesse contas de outros usuários da mesma empresa, incluindo contas com privilégios superiores. Em versões 3.5.0 e posteriores, isso também permite a exclusão de tais contas. O problema ocorre porque os endpoints 'GET /api/user/{id}' e 'DELETE /api/user/{id}' apenas verificam a validade de um JSON Web Token através do middleware auth:api, sem verificar permissões, políticas ou funções específicas nas funções UserReadController::read() e UserDeleteController::delete(). Embora o acesso seja geralmente limitado por empresa, o processo de exclusão ignora a verificação de empresa se o usuário autenticado pertencer à Company::DEFAULT COMPANY, permitindo que um usuário básico nessa empresa exclua qualquer conta em toda a instalação. Isso pode levar à exposição de dados pessoais, como endereços de e-mail, números de telefone, endereços postais e IBANs, e a potencial remoção da última conta administrativa de uma empresa.

Recommendations Atualize o Roskus Prospero Flow CRM para a versão 5.26.0 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints 'GET /api/user/{id}' e 'DELETE /api/user/{id}'.