Podatności Munshi (by Petpooja)

Munshi (by Petpooja) przed 2026-07-13 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy znacznik HTML przez opisy pozycji lub wiadomości w wątku Purchase Inquiry. Ładunek jest przypisywany do innerHTML podczas renderowania przed zakończeniem czyszczenia tekstu, co pozwala na wykonanie JavaScriptu w przeglądarce innego użytkownika otwierającego wątek.

Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.

Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.

System Munshi (by Petpooja) przed 2026-06-30 zawierał podatność obejścia płatności w webhooku subskrypcji pod adresem POST /api/payment/order/webhook. Webhook nie posiada uwierzytelniania, weryfikacji podpisu kryptograficznego, walidacji źródła ani niezależnego potwierdzenia po stronie serwera u dostawcy płatności. Zdalny, nieuwierzytelniony atakujący może przesłać sfałszowane powiadomienie o sukcesie płatności, powodując oznaczenie subskrypcji jako opłaconej i aktywnej bez rzeczywistej płatności.