CVE-2026-119731
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Munshi par Petpooja publiées avant le 30 juin 2026 sont concernées. Ce logiciel gère les opérations commerciales et les abonnements, mais son point de terminaison (endpoint) du webhook de paiement ne parvient pas à vérifier l'identité des requêtes entrantes. En l'absence de signatures cryptographiques ou de confirmation côté serveur auprès du fournisseur de paiement, le système fait aveuglément confiance à toute notification de « succès du paiement » qu'il reçoit.
Un attaquant distant peut envoyer une notification falsifiée au serveur pour marquer une commande comme payée sans avoir réellement dépensé d'argent. Cela compromet l'intégrité du système de facturation en accordant un accès non autorisé aux fonctionnalités d'abonnement payantes. L'attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être réalisée via une connexion réseau standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Munshi (by Petpooja) before 2026-06-30 contained a payment bypass vulnerability in its subscription payment webhook at POST /api/payment/order/webhook, which lacks webhook authentication, cryptographic signature verification, source validation, and independent server-side confirmation with the payment provider. A remote, unauthenticated attacker can submit a forged payment-success notification referencing an order obtained from the payment-status redirect URL, causing the backend to mark the subscription as paid/active and granting paid access without an actual successful payment.