¿Qué es la vulnerabilidad CVE-2026-119731 en Munshi?
Se ha identificado una vulnerabilidad de omisión de pago en Munshi (by Petpooja) anterior al 30 de junio de 2026, catalogada como vulnerabilidad crítica CVE-2026-115905. El fallo reside específicamente en el punto final del webhook de pago de suscripciones situado en POST /api/payment/order/webhook.
Este error de diseño carece de mecanismos fundamentales de seguridad como autenticación de webhooks, verificación de firmas criptográficas, validación de origen y confirmación independiente del lado del servidor con el proveedor de pagos, una problemática similar a la de CVE-2026-58946 y CVE-2026-58957.
¿A quién afecta y cómo se explota el fallo?
Un atacante remoto y sin autenticación puede enviar una notificación de éxito de pago falsificada haciendo referencia a una orden obtenida previamente desde la URL de redirección del estado de pago. Esto provoca que el backend marque erróneamente la suscripción como pagada y activa.
De este modo, se concede acceso prémium o de pago sin que se haya realizado una transacción financiera real, comprometiendo gravemente la integridad del servicio.
¿Cómo me protejo?
Para mitigar este riesgo de forma efectiva, es necesario aplicar las actualizaciones oficiales proporcionadas por el proveedor correspondientes a fechas posteriores al 30 de junio de 2026. Además, se deben implementar validaciones estrictas en el servidor.
Siga estos pasos técnicos para asegurar sus puntos finales de notificación y prevenir accesos no autorizados:
- Actualice Munshi a la versión más reciente parcheada por el fabricante.
- Implemente validación obligatoria de firmas criptográficas provistas por la pasarela de pagos.
- Añada confirmación independiente del lado del servidor consultando directamente a la API del proveedor de pagos antes de activar cualquier servicio.
- Restrinja el acceso al punto final del webhook mediante listas de IPs permitidas correspondientes al proveedor.