CVE-2026-119734
ŚrednieCVSS 6.5Streszczenie
Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.
Ocena ryzyka
Manipulacja identyfikatorem wątku umożliwia nieuprawnione ujawnienie poufnych informacji biznesowych spoza zakresu dostępu atakującego. Może to prowadzić do wycieku danych handlowych i naruszenia poufności relacji z dostawcami.
Rekomendacja
Zaktualizuj Munshi do wersji wydanej po 2026-06-17. Wdróż kontrolę własności obiektów po stronie serwera dla endpointów wątków zapytań zakupowych.
Inne podatności w Munshi (by Petpooja)
Zobacz wszystkie- CVE-2026-119735Średnie
Munshi (by Petpooja) przed 2026-07-13 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy znacznik HTML przez opisy pozycji lub wiadomości w wątku Purchase Inquiry. Ładunek jest przypisywany do innerHTML podczas renderowania przed zakończeniem czyszczenia tekstu, co pozwala na wykonanie JavaScriptu w przeglądarce innego użytkownika otwierającego wątek.
- CVE-2026-119732Średnie
Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.
- CVE-2026-119731Wysokie
System Munshi (by Petpooja) przed 2026-06-30 zawierał podatność obejścia płatności w webhooku subskrypcji pod adresem POST /api/payment/order/webhook. Webhook nie posiada uwierzytelniania, weryfikacji podpisu kryptograficznego, walidacji źródła ani niezależnego potwierdzenia po stronie serwera u dostawcy płatności. Zdalny, nieuwierzytelniony atakujący może przesłać sfałszowane powiadomienie o sukcesie płatności, powodując oznaczenie subskrypcji jako opłaconej i aktywnej bez rzeczywistej płatności.
Oryginalny opis (angielski, źródło NVD)
Munshi (by Petpooja) before 2026-06-17 contained a broken object level authorization vulnerability that allows authenticated attackers to access another user's purchase inquiry by manipulating the thread identifier in the GET /purchase-inquiry/thread/{thread-id} endpoint. Attackers can modify the thread ID to read supplier communication and quotation-related content belonging to other users, resulting in unauthorized disclosure of sensitive business information outside their access scope.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS