- Son 7 gün
- CWE-862
CVE-2026-119733
Munshi şirket silme API'sinde yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapmış ve yalnızca belirli bir şirkete erişimi olan kullanıcıların şirket kaydını tamamen silmesine olanak tanıyabilir. Silinen veriler, faturalar ve ayarlar dahil, geri getirilemeyebilir ve bu da işletmenin işleyişini ciddi biçimde aksatabilir. Bu nedenle yazılımın güncellenmesi ve erişim yetkilerinin gözden geçirilmesi acildir.
ÖzetTürkçe
Petpooja tarafından geliştirilen Munshi uygulamasının 2026-07-07 tarihine kadar olan sürümlerinde, şirket silme işlemi için kullanılan DELETE /api/companies/{company_id} uç noktasında yetkilendirme eksikliği bulunmaktadır. Uygulama, ayrılmış company_delete iznini kontrol etmemekte ve şirket sahipliğini doğrulamamaktadır. Bu nedenle bir şirkete erişimi olan davet edilmiş alt kullanıcılar bu açığı kullanabilir.
Saldırgan ne yapabilir?
Saldırgan, şirket kaydını kalıcı olarak silebilir; faturalar, yapılandırmalar ve sohbet oturumları gibi ilişkili iş verileri geri alınamayacak şekilde kaybolabilir.
Kaynaktaki açıklama (İngilizce)
Munshi (by Petpooja) before 2026-07-07 contained a missing authorization vulnerability in its company deletion workflow at DELETE /api/companies/{company_id}, where the application fails to enforce the dedicated company_delete permission or verify company ownership. An authenticated invited sub-user with mere access to a company can exploit this flaw to perform a hard delete of the company record, causing irreversible loss of associated business data including invoices, configurations, and chat sessions.
Ne yapmalı?
- Satıcının belirttiği düzeltilmiş sürüme, 2026-07-07 tarihinden sonra yayımlanan bir sürüme güncelleyin. Genel öneri
- Güncelleme öncesinde, alt kullanıcılara verilen şirket erişim yetkilerini gözden geçirin ve gereksiz erişimleri kaldırın. Genel öneri
- Güncelleme sonrasında, şirket silme işleminin yalnızca yetkili kullanıcılarla sınırlı olduğunu test edin. Genel öneri
Ek önlemler
- Şirket silme işlemlerini denetim günlüklerinde izleyin ve beklenmedik silmeler için uyarı kurun. Genel öneri
- Düzenli olarak veri yedeği alın ve yedeklerin geri yüklenebildiğini test edin. Genel öneri
- Alt kullanıcı hesaplarını en az yetki ilkesine göre tanımlayın ve kullanılmayan hesapları devre dışı bırakın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Petpooja Munshi | ≤ 2026-07-07 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…-missing-authorization-in-company-deletion-api Üçüncü taraf
- medium.com/…-could-delete-a-company-in-munshi-94bf92476e5c İstismar kodu ya da analiz
- petpooja.com Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.