CVE-2026-19734

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões anteriores a 5.4.7

Descrição Existe uma falha de bypass de autorização no componente de gerenciamento de produtos. Usuários autenticados podem acessar dados sensíveis, incluindo preço, custo, estoque, SKU e código de barras, pertencentes a outras empresas. Além disso, os usuários podem sequestrar produtos ao reatribuir o company id usando o identificador numérico do produto. Isso ocorre porque o ProductUpdateController não estende o MainController, resultando na ausência de verificações de autenticação no endpoint de leitura. Além disso, a função ProductRepository::save() utiliza Product::find($data['id']) para recuperar registros sem verificar se o produto pertence à empresa do usuário autenticado antes de atualizar a variável company id.

Recomendações Atualize o Roskus Prospero Flow CRM para a versão 5.4.7 ou posterior.