CVE-2026-119732
ŚrednieCVSS 6.5Streszczenie
Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.
Ocena ryzyka
Atakujący może wywołać pojedyncze lub masowe usunięcie faktur, których nie jest właścicielem, powodując nieuprawnioną utratę danych. Może to zakłócić rozliczenia i spowodować straty biznesowe.
Rekomendacja
Zaktualizuj Munshi do wersji wydanej po 2026-07-28. Wdróż kontrole własności obiektów i uprawnień dla operacji usuwania faktur.
Inne podatności w Munshi (by Petpooja)
Zobacz wszystkie- CVE-2026-119735Średnie
Munshi (by Petpooja) przed 2026-07-13 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy znacznik HTML przez opisy pozycji lub wiadomości w wątku Purchase Inquiry. Ładunek jest przypisywany do innerHTML podczas renderowania przed zakończeniem czyszczenia tekstu, co pozwala na wykonanie JavaScriptu w przeglądarce innego użytkownika otwierającego wątek.
- CVE-2026-119734Średnie
Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.
- CVE-2026-119731Wysokie
System Munshi (by Petpooja) przed 2026-06-30 zawierał podatność obejścia płatności w webhooku subskrypcji pod adresem POST /api/payment/order/webhook. Webhook nie posiada uwierzytelniania, weryfikacji podpisu kryptograficznego, walidacji źródła ani niezależnego potwierdzenia po stronie serwera u dostawcy płatności. Zdalny, nieuwierzytelniony atakujący może przesłać sfałszowane powiadomienie o sukcesie płatności, powodując oznaczenie subskrypcji jako opłaconej i aktywnej bez rzeczywistej płatności.
Oryginalny opis (angielski, źródło NVD)
Munshi (by Petpooja) before 2026-07-28 contained a broken object level authorization vulnerability that allows authenticated sub-users to delete invoices belonging to the tenant owner by exploiting the DELETE /api/invoice/{invoice_id} and POST /api/invoices/bulk-delete endpoints, which only verify tenant membership without enforcing object-level ownership or permission checks. Attackers can invoke single or bulk deletion requests with arbitrary invoice identifiers to delete invoices they do not own, resulting in unauthorized data loss.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS