- Yama var
- Son 7 gün
- CWE-862
CVE-2026-114519
Roskus Prospero Flow CRM kullanıcı API'sinde yetkilendirme eksikliği: temel rol kullanıcısı diğer hesapları okuyup silebiliyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- Secur0
ÖzetTürkçe
Roskus Prospero Flow CRM ürününün 2.0.0 sürümünden 5.26.0 sürümünden önceki sürümlerinde kullanıcı API'sinde yetkilendirme eksikliği (CWE-862) bulunmaktadır. Temel role sahip bir kullanıcı, kendi şirketindeki diğer kullanıcıların hesaplarını, daha yüksek ayrıcalıklı hesaplar dahil, okuyabilmekte; 3.5.0 sürümünden itibaren bu hesapları silebilmektedir. Bunun nedeni, routes/api.php dosyasındaki GET /api/user/{id} ve DELETE /api/user/{id} rotalarının yalnızca auth:api ara katmanını taşımasıdır; bu ara katman yalnızca bir JSON Web Token'ın geçerli olup olmadığını denetler. UserReadController::read ve UserDeleteController::delete metotları ise işlem yapmadan önce herhangi bir izin, politika veya rol denetimi yapmamaktadır. Nesne erişimi şirket bazında sınırlandırılmaktadır: okuma yolu sorguyu kimliği doğrulanmış kullanıcının şirketiyle sınırlar, silme yolu ise hedef hesabın şirketini kimliği doğrulanmış kullanıcının şirketiyle karşılaştırır. Ancak kimliği doğrulanmış kullanıcının şirketi Company::DEFAULT_COMPANY ise silme yolu bu karşılaştırmayı atlamaktadır; bu durumda o şirketteki temel rollü bir kullanıcı, kurulumdaki herhangi bir şirketin herhangi bir hesabını silebilmektedir. Bir hesap silindiğinde üzerinde tutulan veriler de kaldırılmakta ve bir şirketin son yönetici hesabı silinebilmektedir. Saldırgan, diğer hesaplarda tutulan e-posta adresi, telefon numarası, posta adresi ve IBAN dahil kişisel verilere erişebilmekte ve yönetme yetkisi olmayan hesapları silebilmektedir.
Kaynaktaki açıklama (İngilizce)
Missing Authorization (CWE-862) in the user API of Roskus Prospero Flow CRM from 2.0.0 before 5.26.0 allows a user with a basic role to read the accounts of other users of its own company, including accounts with higher privileges, and, in versions from 3.5.0, to delete them, because the routes GET /api/user/{id} and DELETE /api/user/{id} in routes/api.php carry only the auth:api middleware, which checks that a JSON Web Token is valid and nothing more, and neither UserReadController::read() nor UserDeleteController::delete() checks a permission, a policy or a role before acting. Object access is scoped by company: the read path limits the query to the company of the authenticated user, and the delete path compares the company of the target account with the company of the authenticated user. The delete path skips that comparison when the company of the authenticated user is Company::DEFAULT_COMPANY, so a user with a basic role in that company can delete any account of any company of the installation. Deleting an account removes the data held on it, and the last administrative account of a company can be deleted. This gives the attacker the personal data held on the other accounts, including email address, telephone number, postal address and IBAN, and the ability to delete accounts it has no permission to administer.
Üreticinin çözüm notu (İngilizce)
Upgrade to Roskus Prospero Flow CRM 5.26.0 or later.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roskus Prospero Flow CRM | ≥ 2.0.0, < 5.26.0 | 5.26.0 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.