CVE-2026-19734: IDOR in Prospero Flow CRM allows cross-tenant product disclosure and hijacking

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Secur0). Не зависят от анализа CPE в NVD и обычно опережают его.

• Roskus Prospero Flow CRM

  • до 5.4.7затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-78365IDOR and missing authorization in Prospero Flow CRM supplier API allows cross-tenant read and modification
  37Наблюдать
• CVE-2026-19871Use of hard-coded credentials in Prospero Flow CRM employee onboarding
  37Наблюдать
• CVE-2026-114519Missing authorization in the Prospero Flow CRM user API allows a basic role user to read and delete other accounts
  34Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-1943310 авг. 2026 г. · Authorization Bypass Through User-Controlled Key in Prospero Flow CRM contact save and vCard export
  34Наблюдать
• ← РаньшеCVE-2026-1953911 авг. 2026 г. · IDOR in Prospero Flow CRM allows cross-tenant ticket read, hijacking, and deletion
  34Наблюдать
• Позже →CVE-2026-1987014 авг. 2026 г. · IDOR in Prospero Flow CRM allows cross-tenant payroll disclosure and creation
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.