Munshi（Petpooja）2026-06-30 以前 CVE-2026-119731（CVSS v3.1 7.5）: 認証のない決済 webhook に偽の支払い成功通知を送ると、未払いで有料利用が有効になる

決済代行の通知を受ける webhook の検証が無い問題 CVE-2026-119731 が、飲食店向けサービス Munshi（Petpooja 提供）で見つかりました。NVD は 2026-11-02 に登録しました。サブスクリプション決済の通知を受ける POST /api/payment/order/webhook に、認証・署名の検証・送信元の確認・決済事業者への独立した照会のいずれもありません。外部の認証なしの攻撃者が、支払い画面の戻り先 URL から得た注文を指す「支払い成功」の偽通知を送ると、バックエンドは購読を支払い済み・有効と記録し、実際に支払わなくても有料の機能が使えるようになります。NVD の状態は Deferred で、評価は VulnCheck が付与した CVSS v3.1 の 7.5（HIGH）です。

概要

項目	内容
CVE	CVE-2026-119731
製品	Munshi（Petpooja 提供）
対象	2026-06-30 以前（NVD は版ではなく日付で記載）
問題	認証欠如（CWE-306）と、データの真正性の検証不足（CWE-345）
攻撃条件	ネットワーク経由（AV:N）、認証不要（PR:N）、ユーザー操作不要
結果	未払いのまま購読が有効になる。完全性への影響のみ（I:High）で、情報の漏えいやサービス停止は評価に含まれない

• NVD には、この製品が事業者のみがホストするサービスであることを示すタグ（exclusively-hosted-service）が付いています。利用者側のアップデート作業は想定されず、修正は事業者側のサーバーで行われます。
• 公開された技術解説は、決済事業者の通知を模した偽の通知で未払いの購読を有効にできる経緯を説明しています。

CVSS

評価元	種別	版	スコア	ベクター
VulnCheck	主（Primary）	v3.1	7.5（HIGH）	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
VulnCheck	副（Secondary）	v4.0	8.7（HIGH）	AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

認証は不要ですが、スコアが 9 未満のため、本サイトでは high としています。

影響範囲

• Munshi の購読契約を管理する事業者側の仕組みが対象で、不正に有効化された購読は、課金の取りこぼしという形で提供事業者に影響します。
• 他の利用者のデータの閲覧や、サービスの停止は、NVD の記載には含まれていません。
• すでに偽の通知で有効化された購読があるかどうかは未確認です。

修正

事業者がホストするサービスのため、利用者が適用する修正版はありません。NVD の記載は「2026-06-30 以前」で、サーバー側で修正済みかどうかと、その時期は今回の確認では特定できていません（未確認）。

提供事業者がとれる対策

• webhook の受信時に、決済事業者が定める署名の検証と、送信元の確認を行う。
• 通知の内容を信用せず、決済事業者の API に注文の状態を直接照会して、支払いの成立を確かめてから購読を有効にする。
• 支払い画面の戻り先 URL に含まれる注文の識別子から、通知を偽造されにくいよう、推測されにくい値と有効期限を使う。
• 過去の購読のうち、決済事業者の記録と一致しないものがないかを突き合わせる。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Deferred
CVSS	v3.1 7.5（HIGH）、v4.0 8.7（HIGH）。いずれも VulnCheck
EPSS	未算定（FIRST、2026-11-03 時点）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、VulnCheck の勧告、FIRST、CISA

未確認の点

• 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
• サーバー側で修正済みか、その時期、過去に偽通知で有効化された購読の有無。
• 利用する決済事業者や、影響を受ける購読プランの範囲（解説記事の記述は未検証）。
• 緩和策が有効に働くかどうか（上記は一般的な対策で、製品側の検証は未確認）。
• NVD による独自の分析（Deferred のため）。