ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يؤدي نقص التخويل (CWE-862) في واجهة برمجة التطبيقات للمستخدمين في نظام Roskus Prospero Flow CRM من الإصدار 2.0.0 وحتى ما قبل 5.26.0 إلى السماح لمستخدم ذي دور أساسي بقراءة حسابات المستخدمين الآخرين التابعين لشركته الخاصة، بما في ذلك الحسابات ذات الصلاحيات الأعلى، وفي الإصدارات من 3.5.0 وما بعده، السماح بحذفها. ويعود ذلك إلى أن المسارين GET /api/user/{id} و DELETE /api/user/{id} في ملف routes/api.php يعتمدان فقط على وسيط المصادقة auth:api الذي يتحقق من صلاحية رمز JSON Web Token فقط دون أي تحقق إضافي، كما أن كلا من UserReadController::read() و UserDeleteController::delete() لا يتحققان من الصلاحيات أو السياسات أو الأدوار قبل تنفيذ الإجراء. يتم تحديد نطاق الوصول إلى الكائنات بناءً على الشركة: حيث يتقيد مسار القراءة بالاستعلام عن شركة المستخدم المصادق عليه، بينما يقارن مسار الحذف شركة الحساب المستهدف بشركة المستخدم المصادق عليه. ويتجاوز مسار الحذف عملية المقارنة هذه عندما تكون شركة المستخدم المصادق عليه هي Company::DEFAULT_COMPANY، مما يتيح لمستخدم ذي دور أساسي في تلك الشركة حذف أي حساب لأي شركة ضمن التثبيت. يؤدي حذف الحساب إلى إزالة البيانات المرتبطة به، ويمكن حذف الحساب الإداري الأخير للشركة. يمنح هذا المهاجم البيانات الشخصية المخزنة في الحسابات الأخرى، بما في ذلك عنوان البريد الإلكتروني، ورقم الهاتف، والعنوان البريدي، ورقم الحساب المصرفي الدولي (IBAN)، فضلاً عن القدرة على حذف حسابات ليس لديه إذن بإدارتها.