CVE-2026-119735
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Munshi par Petpooja publiées avant le 13 juillet 2026 sont concernées. Ce logiciel est utilisé pour la gestion d'entreprise et les demandes d'achat. La faille se situe dans les fils de discussion des demandes d'achat, où le système ne nettoie pas correctement le texte avant de l'afficher sur la page, permettant ainsi à un utilisateur d'enregistrer du HTML ou du JavaScript malveillant dans les descriptions d'articles ou les messages.
Un attaquant disposant d'un compte avec des privilèges limités peut exécuter du JavaScript arbitraire dans le navigateur de tout utilisateur consultant le fil de discussion compromis. Cela permet à l'attaquant de défigurer la page ou de voler des informations de session, affectant ainsi l'intégrité et la confidentialité de la session de la victime. L'attaque est facile à réaliser via un réseau, mais nécessite que l'attaquant soit authentifié et que la victime ouvre manuellement le fil de discussion concerné.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Munshi (by Petpooja) before 2026-07-13 contained a stored cross-site scripting vulnerability that allows authenticated users to inject malicious markup through item descriptions or messages submitted in the Purchase Inquiry thread (/purchase-inquiry/thread/{thread-id}), which is assigned to innerHTML during rendering before text cleaning completes. Attackers can store a payload that executes in the browser of another user who opens the affected thread, achieving JavaScript execution and full-page defacement that re-triggers whenever the thread is reopened.