CVE-2026-119734
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Munshi by Petpooja, dans les versions publiées avant le 17 juin 2026, est un outil de gestion commerciale utilisé pour traiter les demandes d'achat et les communications avec les fournisseurs. Le logiciel présente une faille d'autorisation au niveau des objets (BOLA) dans son API. En modifiant simplement l'identifiant du fil de discussion (thread ID) dans une requête web spécifique, le système ne parvient pas à vérifier si l'utilisateur demandeur est réellement le propriétaire de cette conversation.
Un attaquant disposant d'un compte utilisateur standard peut exploiter cette faille pour lire des informations commerciales sensibles, telles que des devis de fournisseurs et des communications privées appartenant à d'autres utilisateurs. Cela compromet la confidentialité des données commerciales, mais ne permet pas la modification ou la suppression d'enregistrements. L'attaque est facile à exécuter via un réseau et ne nécessite qu'une authentification basique, sans autre interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Munshi (by Petpooja) before 2026-06-17 contained a broken object level authorization vulnerability that allows authenticated attackers to access another user's purchase inquiry by manipulating the thread identifier in the GET /purchase-inquiry/thread/{thread-id} endpoint. Attackers can modify the thread ID to read supplier communication and quotation-related content belonging to other users, resulting in unauthorized disclosure of sensitive business information outside their access scope.