CVE-2026-114519

Brakująca autoryzacja (CWE-862) w interfejsie API użytkownika Roskus Prospero Flow CRM od wersji 2.0.0 przed 5.26.0 umożliwia użytkownikowi z rolą podstawową odczytywanie kont innych użytkowników własnej firmy, w tym kont z wyższymi uprawnieniami, a w wersjach od 3.5.0 ich usuwanie, ponieważ trasy GET /api/user/{id} i DELETE /api/user/{id} w Routes/api.php tylko oprogramowanie pośredniczące auth:api, które sprawdza, czy token sieciowy JSON jest ważny i nic więcej, a ani UserReadController::read() ani UserDeleteController::delete() nie sprawdzają uprawnień, zasad ani roli przed podjęciem działania. Dostęp do obiektu jest ograniczony przez firmę: ścieżka odczytu ogranicza zapytanie do firmy uwierzytelnionego użytkownika, a ścieżka usuwania porównuje firmę konta docelowego z firmą uwierzytelnionego użytkownika. Ścieżka usuwania pomija to porównanie, gdy firma uwierzytelnionego użytkownika to Company::DEFAULT_COMPANY, więc użytkownik z podstawową rolą w tej firmie może usunąć dowolne konto dowolnej firmy, w której przeprowadzana jest instalacja. Usunięcie konta powoduje usunięcie przechowywanych na nim danych, a ostatnie konto administracyjne firmy może zostać usunięte. Daje to atakującemu dane osobowe przechowywane na pozostałych kontach, w tym adres e-mail, numer telefonu, adres pocztowy i IBAN, a także możliwość usunięcia kont, którymi nie ma uprawnień do administrowania.