https://alertas.dupin.com.ar/fabricante/petpooja/Alertas de vulnerabilidades de Petpooja.esMon, 02 Nov 2026 20:01:59 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119731/tg:62833Mon, 02 Nov 2026 20:01:59 +0000VulnerabilidadEl webhook de pago de suscripciones en POST /api/payment/order/webhook no valida autenticación, firma criptográfica ni origen, ni confirma con el proveedor de pagos. Un atacante remoto no autenticado puede enviar una notificación falsa de pago exitoso y activar la suscripción sin pagar. Afecta a Munshi (de Petpooja) anterior a 2026-06-30.https://alertas.dupin.com.ar/cve/CVE-2026-119732/tg:62832Mon, 02 Nov 2026 20:01:58 +0000VulnerabilidadLos subusuarios autenticados pueden eliminar facturas del propietario del tenant mediante DELETE /api/invoice/{invoice_id} y POST /api/invoices/bulk-delete, que solo verifican pertenencia al tenant y no la propiedad del objeto. Permite pérdida de datos no autorizada. Afecta a Munshi (de Petpooja) anterior a 2026-07-28.https://alertas.dupin.com.ar/cve/CVE-2026-119733/tg:62831Mon, 02 Nov 2026 20:01:57 +0000VulnerabilidadEn DELETE /api/companies/{company_id} no se exige el permiso company_delete ni se verifica la propiedad de la empresa. Un subusuario invitado autenticado con acceso a una empresa puede eliminarla de forma definitiva, con pérdida irreversible de facturas, configuraciones y sesiones de chat asociadas. Afecta a Munshi (de Petpooja) anterior a 2026-07-07.https://alertas.dupin.com.ar/cve/CVE-2026-119734/tg:62830Mon, 02 Nov 2026 20:01:56 +0000VulnerabilidadUn atacante autenticado puede manipular el identificador de hilo en GET /purchase-inquiry/thread/{thread-id} para acceder a consultas de compra de otros usuarios. Expone comunicaciones con proveedores y contenido de cotizaciones fuera de su alcance. Afecta a Munshi (de Petpooja) anterior a 2026-06-17.https://alertas.dupin.com.ar/cve/CVE-2026-119735/tg:62829Mon, 02 Nov 2026 20:01:52 +0000VulnerabilidadUsuarios autenticados pueden inyectar marcado malicioso en descripciones de ítems o mensajes del hilo de consulta de compra (/purchase-inquiry/thread/{thread-id}), que se asigna a innerHTML antes de completar la limpieza del texto. El payload se ejecuta en el navegador de quien abre el hilo, con ejecución de JavaScript y desfiguración de la página. Afecta a Munshi (de Petpooja) anterior a 2026-07-13.https://alertas.dupin.com.ar/cve/CVE-2026-119736/tg:62827Mon, 02 Nov 2026 20:01:51 +0000VulnerabilidadLa aplicación incluye credenciales de producción del broker MQTT en los assets de configuración Flutter del APK, como production.json. Al descompilar el APK se pueden recuperar y usar para autenticarse al broker por TCP 1883, acceder a temas con registros de asistencia, identificadores personales, fotografías en Base64 y telemetría, y publicar mensajes. Afecta a Attendo Admin Android 3.0.13 y anteriores.