PT-2026-60477

CVE-2026-59237

Publicado

2026-07-16

Atualizado

2026-07-16

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões anteriores a 5.5.3

Description Existe uma falha de bypass de autorização nos controladores da API REST Order e OrderItem. Um usuário remoto autenticado pode ler, modificar e excluir pedidos e itens de pedidos pertencentes a outras empresas (tenants) ao fornecer um id numérico sequencial para os seguintes endpoints:

'GET /api/order/{id}'
'PUT /api/order/{id}'
'GET /api/order-item/{id}'
'PUT /api/order-item/{id}'
'DELETE /api/order-item/{id}'

Isso ocorre porque os controladores utilizam as funções Order::find($id) e Item::find($id) para resolver registros sem restringir a busca à empresa do usuário autenticado.

Recommendations Atualizar para a versão 5.5.3.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Gustavo Novaro

Secur0 Cna

Theoffsecgirl

Fornecedores

Produtos afetados

Enumeração de fraquezas