CVE-2026-59234
Təsvir
Prospero Flow CRM-in 5.5.3-dən əvvəlki versiyalarında CalendarDeleteEventController-də (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) GET /calendar/event/delete/{id} ünvanında mövcud olan İstifadəçi tərəfindən idarə olunan açar vasitəsilə avtorizasiyadan yan keçmə (CWE-639) zəifliyi uzaqdan autentifikasiya olunmuş hücumçuya {id} yol parametrini manipulyasiya edərək digər istifadəçilərə məxsus istənilən təqvim hadisəsini silməyə imkan verir, çünki silmə emalçısı qeydi Calendar::find($id)->delete() ilə tapır və silmədən əvvəl heç bir sahiblik yoxlaması (user_id/company_id üzrə məhdudlaşdırma) aparmır. Bu, platforma üzrə digər istifadəçilərin təqvim hadisələrinin icazəsiz məhv edilməsi ilə nəticələnir.
Necə düzəltmək olar
- roskus prospero_flow_crm5.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| roskus prospero_flow_crm | 1.0.0 ≤ v < 5.5.3 | 5.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.