Roskus Prospero Flow CRM: Fehlende Autorisierung in der Benutzer-API
Zusammenfassung
Die Benutzer-API von Roskus Prospero Flow CRM ab 2.0.0 vor 5.26.0 prüft beim Lesen und Löschen von Benutzerkonten keine Berechtigungen. Jeder Benutzer mit gültigem Token und einer Basisrolle kann Konten anderer Benutzer des eigenen Unternehmens lesen, einschliesslich Administratoren, samt Personendaten wie E-Mail-Adresse, Telefonnummer, Postadresse und IBAN. Ab Version 3.5.0 kann derselbe Benutzer Konten zusätzlich löschen; im Default-Unternehmen erstreckt sich dies auf Konten aller Unternehmen der Installation.
Betroffen
- Roskus Prospero Flow CRM 2.0.0 bis vor 5.26.0 (Lese-Endpunkt ab 2.0.0, Lösch-Endpunkt ab 3.5.0)
- Standardkonfiguration: laut CNA-Eintrag nicht betroffen
Behoben in
- Aktualisierung auf Roskus Prospero Flow CRM 5.26.0 oder neuer (Fix-Commit 52cd172c, gemäss CNA-Eintrag)
- Unbekannt, ob andere Release-Tags, etwa v5.5.3, den Fix enthalten; vor dem Rollout am Commit prüfen
Umgehung
- Kein Workaround dokumentiert; keine Konfigurationseinstellung behebt die fehlende Berechtigungsprüfung
- Bis zum Patch: Vergabe von API-Token einschränken, API-Zugriff am Reverse Proxy auf vertrauenswürdige Netze beschränken und prüfen, welche Konten zum Default-Unternehmen gehören
Ausnutzung
- In den konsultierten Quellen nicht als aktiv ausgenutzt markiert
- Kein öffentlicher Proof of Concept in der Recherche gefunden; fehlender Nachweis ist kein Beweis, daher regelmässig erneut prüfen
Unsere Empfehlung
- Vorrangig auf Version 5.26.0 oder neuer aktualisieren, insbesondere wenn das CRM aus dem Internet erreichbar ist oder von vielen Mitarbeitenden genutzt wird
- Benutzerkonten und API-Token überprüfen und, sofern verfügbar, Applikationslogs auf unerwartete Löschungen oder Datenzugriffe prüfen
- Den API-Zugriff bis zum Abschluss der Aktualisierung auf vertrauenswürdige Netze beschränken
- Datenschutzpflichten (nDSG) prüfen, falls Personen- oder Bankdaten offengelegt worden sein könnten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-114519 Secur0 CNA record secur0.com
- Fix commit 52cd172c (Roskus/prospero-flow-crm) github.com
- VulDB entry 425368 vuldb.com
- CVE-2026-114519 threatint mirror (CVSS 4.0 vector) cve.threatint.com
- HOL Guard CVE-2026-114519 entry hol.org
- OSV entry via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.