CVE-2026-119731
WysokieCVSS 7.5Streszczenie
System Munshi (by Petpooja) przed 2026-06-30 zawierał podatność obejścia płatności w webhooku subskrypcji pod adresem POST /api/payment/order/webhook. Webhook nie posiada uwierzytelniania, weryfikacji podpisu kryptograficznego, walidacji źródła ani niezależnego potwierdzenia po stronie serwera u dostawcy płatności. Zdalny, nieuwierzytelniony atakujący może przesłać sfałszowane powiadomienie o sukcesie płatności, powodując oznaczenie subskrypcji jako opłaconej i aktywnej bez rzeczywistej płatności.
Ocena ryzyka
Atakujący może uzyskać płatny dostęp do subskrypcji bez dokonania płatności, co prowadzi do strat finansowych i nieautoryzowanego dostępu do funkcji premium. Podatność jest łatwa do wykorzystania zdalnie bez uwierzytelnienia.
Rekomendacja
Zaktualizuj Munshi do wersji wydanej po 2026-06-30, która wdraża uwierzytelnianie webhooka i weryfikację podpisu. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu webhooka i weryfikację płatności po stronie serwera u dostawcy.
Inne podatności w Munshi (by Petpooja)
Zobacz wszystkie- CVE-2026-119735Średnie
Munshi (by Petpooja) przed 2026-07-13 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy znacznik HTML przez opisy pozycji lub wiadomości w wątku Purchase Inquiry. Ładunek jest przypisywany do innerHTML podczas renderowania przed zakończeniem czyszczenia tekstu, co pozwala na wykonanie JavaScriptu w przeglądarce innego użytkownika otwierającego wątek.
- CVE-2026-119734Średnie
Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.
- CVE-2026-119732Średnie
Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.
Oryginalny opis (angielski, źródło NVD)
Munshi (by Petpooja) before 2026-06-30 contained a payment bypass vulnerability in its subscription payment webhook at POST /api/payment/order/webhook, which lacks webhook authentication, cryptographic signature verification, source validation, and independent server-side confirmation with the payment provider. A remote, unauthenticated attacker can submit a forged payment-success notification referencing an order obtained from the payment-status redirect URL, causing the backend to mark the subscription as paid/active and granting paid access without an actual successful payment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS