CVE-2026-19539

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões anteriores a 5.4.9

Description Existe uma falha de bypass de autorização no componente de gerenciamento de tickets. Usuários autenticados podem acessar, modificar ou excluir tickets pertencentes a outras empresas usando o identificador numérico do ticket. Isso ocorre porque as operações de leitura e salvamento não restringem as consultas à empresa do usuário autenticado. Além disso, o controlador de exclusão utiliza um IlluminateHttpRequest genérico em vez do TicketDeleteRequest, o que falha em impor as permissões necessárias. Isso permite que usuários leiam o conteúdo completo do ticket (título, descrição e anexos), sequestrem tickets reatribuindo a variável company id ou excluam tickets sem autorização.

Recommendations Atualize o Roskus Prospero Flow CRM para a versão 5.4.9 ou posterior.