CVE-2026-119732 in Munshi
Riassunto
di VulDB • 02/11/2026
Munshi (di Petpooja) prima della versione 2026-07-28 presentava una vulnerabilità di autorizzazione a livello di oggetto non corretta che consente agli utenti sub-autenticati di eliminare le fatture appartenenti al proprietario del tenant sfruttando gli endpoint DELETE /api/invoice/{invoice_id} e POST /api/invoices/bulk-delete, i quali verificano solo l'appartenenza al tenant senza imporre controlli di proprietà o autorizzazione a livello di oggetto. Gli attaccanti possono inviare richieste di eliminazione singola o in blocco con identificatori di fattura arbitrari per eliminare le fatture che non possiedono, causando una perdita di dati non autorizzata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.