Missing Authorization in Prospero Flow CRM permission save endpoint allows privilege escalation

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Secur0). Не зависят от анализа CPE в NVD и обычно опережают его.

• Roskus Prospero Flow CRM

  • до 5.2.1затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-78365IDOR and missing authorization in Prospero Flow CRM supplier API allows cross-tenant read and modification
  37Наблюдать
• CVE-2026-19871Use of hard-coded credentials in Prospero Flow CRM employee onboarding
  37Наблюдать
• CVE-2026-77759IDOR and missing authorization in the Prospero Flow CRM transaction API allow cross-tenant reading of financial records
  34Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-5924027 июл. 2026 г. · IDOR in Prospero Flow CRM allows deletion of other users' notifications
  27Наблюдать
• ← РаньшеCVE-2026-5923231 июл. 2026 г. · Stored Cross-site Scripting in Prospero Flow CRM lead name field
  21Наблюдать
• Позже →CVE-2026-1943310 авг. 2026 г. · Authorization Bypass Through User-Controlled Key in Prospero Flow CRM contact save and vCard export
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.