Обход авторизации через управляемый пользователем ключ в API поставщика в Roskus Prospero Flow CRM версий 4.0.0–5.3.1 позволяет любому аутентифицированному пользователю читать и изменять запись о поставщике другой компании, а также переназначать ее своей собственной компании с помощью запроса PUT к /api/supplier/{id}, устанавливая в теле Company_id.
Показать оригинальное описание (EN)
Authorization Bypass Through User-Controlled Key in the supplier API in Roskus Prospero Flow CRM 4.0.0 through 5.3.1 allows any authenticated user to read and modify another company's supplier record, and to reassign it to their own company, via a PUT request to /api/supplier/{id} setting company_id in the body.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/Roskus/prospero-flow-crm/commit/4a52477e6ed66afa436814c80e7b…
4daa8cea-433a-44bd-9456-53b127fc289a
https://github.com/Roskus/prospero-flow-crm/releases/tag/v5.5.3
4daa8cea-433a-44bd-9456-53b127fc289a
https://secur0.com/en/cna/cve-list/cve-2026-78365-idor-supplier-api-cross-tenan…
4daa8cea-433a-44bd-9456-53b127fc289a