Secur0 Cna

Cross-site Scripting in the lead index view in Roskus Prospero Flow CRM before 5.3.7 allows authenticated users holding the create or update lead permission to execute arbitrary JavaScript in the application origin via HTML markup stored in the lead name field, which the view renders through Blade's unescaped output directive and inside a JavaScript string literal in an onclick attribute.

Server-Side Request Forgery in the PDF export component in maalfer Pentestify before 1.1.0 allows authenticated users to cause outbound HTTP GET requests from the server to arbitrary attacker-chosen destinations via unvalidated URLs stored in the finding images field or the report client logo field, which the server-side headless browser fetches while rendering the report.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM (versões afetadas não especificadas) **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) no método `DeleteNotificationController::delete()` no endpoint `GET /notification/delete/{id}`. Esta falha permite que qualquer usuário autenticado exclua notificações pertencentes a qualquer outro usuário no sistema, independentemente de sua empresa ou permissões. O problema ocorre porque o controlador utiliza `Notification::findOrFail($id)` para recuperar registros sem validar a propriedade do `user id` ou `company id`. Como os identificadores de notificação são sequenciais, um invasor pode iterar pelos IDs para excluir sistematicamente notificações, impedindo que os usuários visualizem alertas de tickets, atribuições de tarefas e outros eventos do sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `GET /notification/delete/{id}` para evitar a exclusão não autorizada de notificações.

Stored Cross-site Scripting (CWE-79) in the email module in Roskus Prospero Flow CRM before 5.4.4 allows a remote, authenticated low-privileged user to execute arbitrary JavaScript in another user's browser, including administrators, leading to session compromise and account takeover, via a payload stored in an email body that is persisted without sanitization and rendered unescaped with {!! $email->body !!} when the recipient opens the message.

**Nome do Software Vulnerável e Versões Afetadas** maalfer Pentestify versões anteriores a 1.1.0 **Description** Ocorre Cross-site Scripting (XSS) Armazenado nas funções de renderização de relatórios do lado do cliente `renderPreview()`, `renderEditor()` e `renderAuditData()` localizadas em js/app.js. Um invasor remoto e autenticado pode executar JavaScript arbitrário no navegador de qualquer usuário que visualize um relatório afetado. Isso é possível porque payloads armazenados no array `images` de um achado ou no array `client logo` de um relatório são interpolados em um atributo src de <img> sem a devida filtragem. **Recommendations** Atualize o maalfer Pentestify para a versão 1.1.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização nos controladores da API REST Order e OrderItem. Um usuário remoto autenticado pode ler, modificar e excluir pedidos e itens de pedidos pertencentes a outras empresas (tenants) ao fornecer um `id` numérico sequencial para os seguintes endpoints: - 'GET /api/order/{id}' - 'PUT /api/order/{id}' - 'GET /api/order-item/{id}' - 'PUT /api/order-item/{id}' - 'DELETE /api/order-item/{id}' Isso ocorre porque os controladores utilizam as funções `Order::find($id)` e `Item::find($id)` para resolver registros sem restringir a busca à empresa do usuário autenticado. **Recommendations** Atualizar para a versão 5.5.3.

**Nome do Software Vulnerável e Versões Afetadas** Roskus Prospero Flow CRM versões anteriores a 5.14.0 **Description** Existe uma falha de bypass de autorização nos manipuladores de importação de Excel (CustomerImport, LeadImport e ProductImport). Um usuário remoto autenticado pode criar registros de clientes, leads e produtos dentro do tenant de outra empresa ao fazer o upload de uma planilha para o endpoint POST '/customer/import/excel/save'. O sistema mapeia a variável `company id` diretamente do arquivo enviado sem verificar se ela corresponde à empresa do usuário autenticado, permitindo que o `company id` seja controlado pelo usuário. **Recommendations** Atualize o Roskus Prospero Flow CRM para a versão 5.14.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Uma falha de autorização existe no `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) no endpoint GET '/api/bank-account'. Um atacante remoto autenticado com uma função de baixo privilégio, como Usuário, pode ler registros arbitrários de contas bancárias pertencentes à sua empresa. Isso ocorre porque a rota da API é protegida apenas pelo middleware `auth:api` e carece de um controle de permissão, ao contrário da rota web que impõe a verificação `can('read bank')`. O manipulador utiliza `Account::where('company id', Auth::user()->company id)->get()`, que aplica apenas o escopo da empresa sem verificar a função ou as permissões do usuário. Isso resulta na divulgação não autorizada de dados bancários sensíveis, incluindo IBAN, SWIFT/BIC e identificadores de conta. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/api/bank-account' apenas a funções administrativas autorizadas.

**Nome do Software Vulnerável e Versões Afetadas** Prospero Flow CRM versões anteriores a 5.5.3 **Description** Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma. **Recommendations** Atualize o Prospero Flow CRM para a versão 5.5.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/calendar/event/delete/{id}'.

**Nome do Software Vulnerável e Versões Afetadas** Pentestify versões 1.0.0 e anteriores **Description** Um Server-Side Request Forgery (SSRF) existe no endpoint de geração de PDF "GET /api/reports/{id}/pdf" (backend/main.py). Isso ocorre porque a URL de destino é construída usando `request.base url` sem a validação adequada. Um invasor remoto pode usar um cabeçalho Host manipulado para forçar o servidor a fazer requisições para URLs internas ou externas arbitrárias, incluindo serviços de metadados de nuvem, e receber o conteúdo renderizado dentro do PDF gerado. **Recommendations** Atualize o Pentestify para uma versão posterior à 1.0.0. Como mitigação temporária, restrinja o acesso ao endpoint "GET /api/reports/{id}/pdf".

**Nome do Software Vulnerável e Versões Afetadas** MailerUp versões anteriores a 1.0.1 **Description** A ausência de autenticação para uma função crítica no `RegisterView` (apps/accounts/views.py) permite que um invasor remoto não autenticado realize o autocadastro de uma conta em instâncias onde o registro deveria ser restrito. Isso ocorre porque o endpoint POST '/api/auth/register/' aplica a permissão `AllowAny` sem a necessidade de verificação de e-mail, CAPTCHA ou aprovação do administrador. Qualquer conta criada desta forma pode ler todos os e-mails armazenados na instância, resultando na divulgação total das mensagens armazenadas. **Recommendations** Atualize para a versão 1.0.1 ou posterior. Restrinja o acesso ao endpoint POST '/api/auth/register/' para evitar o autocadastro não autorizado.

**Nome do Software Vulnerável e Versões Afetadas** Mailerup versões anteriores a 1.0.0 **Description** Um problema de redirecionamento aberto existe na função ` safe redirect()` do endpoint de rastreamento de cliques '/c/<token>/'. Atacantes remotos não autenticados podem redirecionar usuários para sites externos arbitrários para realizar ataques de phishing manipulando o parâmetro de consulta `u`. Isso ocorre porque o host de destino não é restringido a uma lista de permissões (allowlist) e uma exceção `signing.BadSignature` é capturada silenciosamente, eliminando a necessidade de um token assinado válido. Embora o esquema da URL seja validado para bloquear os esquemas `javascript:` e `data:`, a falta de validação do host permite o redirecionamento. **Recommendations** Atualize para a versão 1.0.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/c/<token>/' ou evite usar o parâmetro de consulta `u` até que a atualização seja aplicada.