CVE-2026-114519

Roskus Prospero Flow CRM'in 2.0.0 ile 5.26.0 arasındaki sürümlerinin kullanıcı API'sindeki Eksik Yetkilendirme (CWE-862), temel role sahip bir kullanıcının kendi şirketindeki diğer kullanıcıların hesaplarını (daha yüksek yetkilere sahip hesaplar dahil) okumasına ve 3.5.0 sürümünden itibaren bu hesapları silmesine olanak tanır; çünkü routes/api.php dosyasındaki GET /api/user/{id} ve DELETE /api/user/{id} rotaları yalnızca bir JSON Web Token'ın geçerli olup olmadığını kontrol eden auth:api middleware'ini taşımaktadır ve ne UserReadController::read() ne de UserDeleteController::delete() işlem yapmadan önce bir izin, politika veya rol kontrolü gerçekleştirmektedir. Nesne erişimi şirket bazlı sınırlandırılmıştır: okuma yolu sorguyu kimliği doğrulanmış kullanıcının şirketiyle sınırlar ve silme yolu hedef hesabın şirketi ile kimliği doğrulanmış kullanıcının şirketini karşılaştırır. Silme yolu, kimliği doğrulanmış kullanıcının şirketi Company::DEFAULT_COMPANY olduğunda bu karşılaştırmayı atlar, böylece bu şirkette temel role sahip bir kullanıcı kurulumdaki herhangi bir şirketin herhangi bir hesabını silebilir. Bir hesabın silinmesi, o hesapta tutulan verileri kaldırır ve bir şirketin son yönetici hesabı silinebilir. Bu durum saldırgana e-posta adresi, telefon numarası, posta adresi ve IBAN dahil olmak üzere diğer hesaplarda tutulan kişisel verilere erişim ve yönetme izni olmadığı hesapları silme imkanı sağlar.