CVE-2026-119732
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Munshi par Petpooja publiées avant le 28 juillet 2026 sont concernées. Ce logiciel gère les opérations commerciales et la facturation, mais il ne vérifie pas correctement si un utilisateur dispose de l'autorisation de modifier un enregistrement spécifique. Plus précisément, les points de terminaison de l'API permettant de supprimer des factures, à l'unité ou en groupe, vérifient si l'utilisateur appartient à l'entreprise, mais pas s'il est le propriétaire de la facture qu'il supprime.
Un sous-utilisateur authentifié disposant d'un accès réseau de base peut supprimer définitivement n'importe quelle facture appartenant au propriétaire du compte. Cela compromet l'intégrité et la disponibilité des données en entraînant une perte de données non autorisée. Aucun privilège particulier, au-delà d'un compte utilisateur standard ou d'une interaction utilisateur ponctuelle, n'est requis pour exécuter l'attaque.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Munshi (by Petpooja) before 2026-07-28 contained a broken object level authorization vulnerability that allows authenticated sub-users to delete invoices belonging to the tenant owner by exploiting the DELETE /api/invoice/{invoice_id} and POST /api/invoices/bulk-delete endpoints, which only verify tenant membership without enforcing object-level ownership or permission checks. Attackers can invoke single or bulk deletion requests with arbitrary invoice identifiers to delete invoices they do not own, resulting in unauthorized data loss.