CVE-2026-59234
Açıklama
Prospero Flow CRM 5.5.3 öncesi sürümlerde, GET /calendar/event/delete/{id} adresinde yayınlanan CalendarDeleteEventController (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) bileşenindeki Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma (CWE-639) zafiyeti, uzak ve kimliği doğrulanmış bir saldırganın {id} yol parametresini manipüle ederek diğer kullanıcılara ait rastgele takvim etkinliklerini silmesine olanak tanır; çünkü silme işleyicisi kaydı Calendar::find($id)->delete() ile çözer ve silme işleminden önce herhangi bir sahiplik kontrolü (user_id/company_id kapsamlandırması yok) gerçekleştirmez. Bu durum, platform genelinde diğer kullanıcıların takvim etkinliklerinin yetkisiz şekilde yok edilmesiyle sonuçlanır.
Nasıl düzeltilir
- roskus prospero_flow_crm5.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roskus prospero_flow_crm | 1.0.0 ≤ v < 5.5.3 | 5.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.