CVE-2026-78365

Kritik

Açıklama

Roskus Prospero Flow CRM 4.0.0 ile 5.3.1 arasındaki sürümlerde, supplier API'deki kullanıcı kontrollü anahtar üzerinden gerçekleşen kimlik doğrulama atlatma zafiyeti; herhangi bir kimliği doğrulanmış kullanıcının, gövdede company_id değerini ayarlayarak /api/supplier/{id} adresine gönderdiği bir PUT isteği aracılığıyla başka bir şirketin tedarikçi kaydını okumasına, değiştirmesine ve bu kaydı kendi şirketine yeniden atamasına olanak ta

ÖnemKritik

CVSS9.3

İstismar olasılığı—

ÜrünProspero Flow CRM

Yayın24 Ağu 2026

İlk görülme24 Ağu 2026

Zayıflık türüCWE-639Kullanıcının denetlediği anahtarla yetki atlatma CWE-862Yetki denetimi eksikliği

Nasıl düzeltilir

Güncelleyin

Roskus Prospero Flow CRM5.3.2 ya da sonraki bir sürüm

Yamalar

github.com/Roskus/prospero-flow-crm/commit/4a52477e6ed66afa436814c80e7bcd68670dd596

Üretici duyuruları

github.com/Roskus/prospero-flow-crm/releases/tag/v5.5.3

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
Roskus Prospero Flow CRM	4.0.0 ≤ v < 5.3.2	5.3.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.