CVE-2026-119735
ŚrednieCVSS 5.4Streszczenie
Munshi (by Petpooja) przed 2026-07-13 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy znacznik HTML przez opisy pozycji lub wiadomości w wątku Purchase Inquiry. Ładunek jest przypisywany do innerHTML podczas renderowania przed zakończeniem czyszczenia tekstu, co pozwala na wykonanie JavaScriptu w przeglądarce innego użytkownika otwierającego wątek.
Ocena ryzyka
Atakujący może przechować ładunek wykonujący się w przeglądarce innych użytkowników, co prowadzi do wykonania JavaScriptu i pełnej defacement strony przy każdym otwarciu wątku. Może to skutkować kradzieżą sesji lub modyfikacją treści widocznych dla użytkowników.
Rekomendacja
Zaktualizuj Munshi do wersji wydanej po 2026-07-13. Do czasu aktualizacji ogranicz dostęp do wątków Purchase Inquiry i rozważ wdrożenie nagłówków Content-Security-Policy.
Inne podatności w Munshi (by Petpooja)
Zobacz wszystkie- CVE-2026-119734Średnie
Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.
- CVE-2026-119732Średnie
Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.
- CVE-2026-119731Wysokie
System Munshi (by Petpooja) przed 2026-06-30 zawierał podatność obejścia płatności w webhooku subskrypcji pod adresem POST /api/payment/order/webhook. Webhook nie posiada uwierzytelniania, weryfikacji podpisu kryptograficznego, walidacji źródła ani niezależnego potwierdzenia po stronie serwera u dostawcy płatności. Zdalny, nieuwierzytelniony atakujący może przesłać sfałszowane powiadomienie o sukcesie płatności, powodując oznaczenie subskrypcji jako opłaconej i aktywnej bez rzeczywistej płatności.
Oryginalny opis (angielski, źródło NVD)
Munshi (by Petpooja) before 2026-07-13 contained a stored cross-site scripting vulnerability that allows authenticated users to inject malicious markup through item descriptions or messages submitted in the Purchase Inquiry thread (/purchase-inquiry/thread/{thread-id}), which is assigned to innerHTML during rendering before text cleaning completes. Attackers can store a payload that executes in the browser of another user who opens the affected thread, achieving JavaScript execution and full-page defacement that re-triggers whenever the thread is reopened.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS