CVE-2026-59237

Roskus Prospero Flow CRM 5.5.3 öncesindeki Order ve OrderItem REST API denetleyicilerinde bulunan Kullanıcı Kontrollü Anahtar Aracılığıyla Kimlik Doğrulama Atlatma (CWE-639), uzak ve kimliği doğrulanmış bir kullanıcının; GET /api/order/{id}, PUT /api/order/{id}, GET /api/order-item/{id}, PUT /api/order-item/{id} veya DELETE /api/order-item/{id} uç noktalarına iletilen ardışık sayısal bir {id} aracılığıyla başka herhangi bir şirkete (kiracıya) ait siparişleri ve sipariş kalemlerini okumasına, değiştirmesine ve silmesine olanak tanır; çünkü denetleyiciler kayıtları, kimliği doğrulanmış kullanıcının şirketiyle kısıtlama yapmaksızın Order::find($id) / Item::find($id) ile çözümlemektedir.