PT-2026-60108

CVE-2026-59236

Publicado

2026-07-15

Atualizado

2026-07-15

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões anteriores a 5.14.0

Description Existe uma falha de bypass de autorização nos manipuladores de importação de Excel (CustomerImport, LeadImport e ProductImport). Um usuário remoto autenticado pode criar registros de clientes, leads e produtos dentro do tenant de outra empresa ao fazer o upload de uma planilha para o endpoint POST '/customer/import/excel/save'. O sistema mapeia a variável company id diretamente do arquivo enviado sem verificar se ela corresponde à empresa do usuário autenticado, permitindo que o company id seja controlado pelo usuário.

Recommendations Atualize o Roskus Prospero Flow CRM para a versão 5.14.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Gustavo Novaro

Secur0 Cna

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key