CVE-2026-119732 in Munshi
Zusammenfassung
von VulDB • 02.11.2026
Munshi (von Petpooja) vor dem 28.07.2026 enthielt eine Schwachstelle für fehlerhafte objektbasierte Autorisierung (Broken Object Level Authorization), die es authentifizierten Unternutzern ermöglicht, Rechnungen des Tenant-Owners zu löschen, indem sie die Endpunkte DELETE /api/invoice/{invoice_id} und POST /api/invoices/bulk-delete ausnutzen. Diese Endpunkte überprüfen lediglich die Zugehörigkeit zum Tenant, erzwingen jedoch keine objektbasierten Besitz- oder Berechtigungsprüfungen. Angreifer können einzelne oder massenhafte Löschanfragen mit beliebigen Rechnungs-IDs aufrufen, um Rechnungen zu löschen, denen sie nicht gehören, was zu unbefugtem Datenverlust führt.
Once again VulDB remains the best source for vulnerability data.