🇰🇷 한글 설명
Munshi(Petpooja 제공) 2026-07-07 이전 버전에는 회사 삭제 워크플로우(DELETE /api/companies/{company_id})에서 권한 검증 누락 취약점이 존재합니다. 애플리케이션이 전용 company_delete 권한을 확인하지 않고 회사 소유권도 검증하지 않습니다. 회사에 접근만 할 수 있는 인증된 초대 하위 사용자가 이를 악용해 회사 레코드를 영구 삭제할 수 있으며, 이로 인해 청구서, 설정, 채팅 세션 등 관련 비즈니스 데이터가 복구 불가능하게 손실될 수 있습니다.
💡 쉬운 설명
회사 데이터를 지울 권한이 없는 일반 직원도 회사 자체를 완전히 삭제할 수 있는 결함입니다. 삭제되면 청구서와 설정 등 업무 자료가 복구할 수 없게 사라질 수 있습니다.
🇺🇸 원문 (English)
Munshi (by Petpooja) before 2026-07-07 contained a missing authorization vulnerability in its company deletion workflow at DELETE /api/companies/{company_id}, where the application fails to enforce the dedicated company_delete permission or verify company ownership. An authenticated invited sub-user with mere access to a company can exploit this flaw to perform a hard delete of the company record, causing irreversible loss of associated business data including invoices, configurations, and chat sessions.
📍 영향받는 시스템
Munshi (Petpooja) 2026-07-07 이전 버전
⚔️ 공격 벡터
회사에 접근 권한만 있는 인증된 초대 하위 사용자가 DELETE /api/companies/{company_id} 요청을 보내 회사를 영구 삭제
🛡️ 대응 방법
Munshi를 2026-07-07 이후의 패치된 버전으로 업데이트하고, 회사 삭제 시 company_delete 권한과 소유권을 서버에서 검증하도록 적용
🔧 검증 코드
401 또는 403이 반환되면 인증 및 권한 검사가 동작하는 것이고, 권한 없는 사용자 토큰으로도 삭제가 성공(2xx)하면 취약한 상태이므로 즉시 패치가 필요합니다.
curl -s -o /dev/null -w '%{http_code}' -X DELETE -H 'Authorization: Bearer INVALID_TOKEN' https://YOUR_MUNSHI_HOST/api/companies/0
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access