ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
احتوى تطبيق Munshi (بواسطة Petpooja) في الإصدارات السابقة لـ 2026-07-28 على ثغرة تجاوز الصلاحيات على مستوى الكائن تتيح للمستخدمين الفرعيين الذين يملكون حسابًا مصادقًا عليه حذف الفواتير المملوكة لمالك المستأجر عن طريق استغلال نقاط النهاية DELETE /api/invoice/{invoice_id} و POST /api/invoices/bulk-delete، والتي تتحقق فقط من عضوية المستأجر دون فرض الملكية على مستوى الكائن أو عمليات التحقق من الأذونات. يمكن للمهاجمين استدعاء طلبات الحذف الفردية أو الجماعية باستخدام معرفات فواتير عشوائية لحذف الفواتير التي لا يملكونها، مما يؤدي إلى فقدان غير مصرح به للبيانات.