CVE-2026-78365

Nome do Software Vulnerável e Versões Afetadas Roskus Prospero Flow CRM versões 4.0.0 through 5.3.1

Description Existe uma falha de bypass de autorização na API de fornecedores que permite que um usuário autenticado leia, modifique e reatribua registros de fornecedores de outras empresas para a sua própria. Isso é feito enviando uma requisição PUT para o endpoint '/api/supplier/{id}' e manipulando a variável company id no corpo da requisição.

Recommendations Atualize o Roskus Prospero Flow CRM para uma versão posterior à 5.3.1. Restrinja o uso do parâmetro company id no endpoint '/api/supplier/{id}' para evitar a reatribuição não autorizada de registros.