Gustavo Novaro

Authorization Bypass Through User-Controlled Key (CWE-639) in the Order and OrderItem REST API controllers in Roskus Prospero Flow CRM before 5.5.3 allows a remote, authenticated user to read, modify, and delete orders and order items belonging to any other company (tenant) via a sequential numeric {id} supplied to GET /api/order/{id}, PUT /api/order/{id}, GET /api/order-item/{id}, PUT /api/order-item/{id}, or DELETE /api/order-item/{id}, because the controllers resolve records with Order::find($id) / Item::find($id) without scoping by the authenticated user's company.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Uma falha de autorização existe no `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) no endpoint GET '/api/bank-account'. Um atacante remoto autenticado com uma função de baixo privilégio, como Usuário, pode ler registros arbitrários de contas bancárias pertencentes à sua empresa. Isso ocorre porque a rota da API é protegida apenas pelo middleware `auth:api` e carece de um controle de permissão, ao contrário da rota web que impõe a verificação `can('read bank')`. O manipulador utiliza `Account::where('company id', Auth::user()->company id)->get()`, que aplica apenas o escopo da empresa sem verificar a função ou as permissões do usuário. Isso resulta na divulgação não autorizada de dados bancários sensíveis, incluindo IBAN, SWIFT/BIC e identificadores de conta. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/api/bank-account' apenas a funções administrativas autorizadas.

Authorization Bypass Through User-Controlled Key (CWE-639) in the Excel import handlers (CustomerImport, LeadImport, ProductImport) in Roskus Prospero Flow CRM before 5.14.0 allows a remote, authenticated user of any role or company to create customer, lead, and product records inside another company's tenant via a spreadsheet whose company id column points to the victim tenant, uploaded to POST /customer/import/excel/save, which maps company id directly from the file and performs no check that it matches the authenticated user's company.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/calendar/event/delete/{id}'.