CVE-2026-119733
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Munshi by Petpooja publiées avant le 07-07-2026 sont affectées par une faille dans le processus de suppression des entreprises. Ce logiciel gère les opérations et les données commerciales, mais il ne vérifie pas correctement si un utilisateur possède les permissions nécessaires pour supprimer la fiche d'une entreprise. Plus précisément, l'application ne vérifie ni la propriété de l'entreprise ni la permission de suppression dédiée lors de l'appel au point de terminaison (endpoint) de l'API de suppression.
Un attaquant disposant d'un compte sous-utilisateur avec des privilèges restreints peut supprimer définitivement la fiche complète d'une entreprise, entraînant une perte totale des données commerciales, des factures et des configurations. Cette attaque est facile à exécuter via un réseau et ne nécessite qu'une authentification basique. Aucune interaction particulière de l'utilisateur ni aucun privilège administratif de haut niveau ne sont requis pour déclencher cette perte de données.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Munshi (by Petpooja) before 2026-07-07 contained a missing authorization vulnerability in its company deletion workflow at DELETE /api/companies/{company_id}, where the application fails to enforce the dedicated company_delete permission or verify company ownership. An authenticated invited sub-user with mere access to a company can exploit this flaw to perform a hard delete of the company record, causing irreversible loss of associated business data including invoices, configurations, and chat sessions.