CVE-2026-59237

Roskus Prospero Flow CRM versiya 5.5.3-dən əvvəlki Order və OrderItem REST API kontrollerlərində istifadəçi tərəfindən idarə olunan açar vasitəsilə autentifikasiyadan yan keçmə (CWE-639) zəifliyi mövcuddur. Bu, uzaqdakı autentifikasiya olunmuş istifadəçiyə GET /api/order/{id}, PUT /api/order/{id}, GET /api/order-item/{id}, PUT /api/order-item/{id} və ya DELETE /api/order-item/{id} sorğularına təqdim edilən ardıcıl rəqəmsal {id} vasitəsilə hər hansı digər şirkətə (tenant) məxsus sifarişləri və sifariş elementlərini oxumağa, dəyişdirməyə və silməyə imkan verir, çünki kontrollerlər qeydləri autentifikasiya olunmuş istifadəçinin şirkətinə uyğunlaşdırmadan Order::find($id) / Item::find($id) ilə müəyyən edir.