CVE-2025-68147
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W Open Source Point of Sale (opensourcepos) w wersjach od 3.4.0 do 3.4.1 występuje podatność na trwały atak XSS w polu konfiguracyjnym "Return Policy". Aplikacja nie odpowiednio sanityzuje danych wejściowych przed zapisaniem do bazy danych i wyświetleniem na paragonach, co pozwala atakującemu z dostępem do konfiguracji sklepu na wstrzyknięcie złośliwego JavaScriptu.
Ocena ryzyka
Wstrzyknięty kod JavaScript może zostać wykonany w przeglądarce każdego użytkownika (w tym administratorów i pracowników sprzedaży) podczas przeglądania paragonów, co może prowadzić do przejęcia sesji, kradzieży danych lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj opensourcepos do wersji 3.4.2, która zawiera poprawkę polegającą na escapowaniu wyniku funkcją esc(). Tymczasowo upewnij się, że pole "Return Policy" zawiera tylko zwykły tekst bez tagów HTML.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-32712Średnie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
- CVE-2026-39380Średnie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
- CVE-2025-66924Średnie
Podatność Cross-site scripting (XSS) w Create/Update Item Kit(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu webowego lub HTML poprzez parametr "name".
- CVE-2025-66923Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Customer(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr phone_number.
- CVE-2025-66921Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Item(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr "name".
Oryginalny opis (angielski, źródło NVD)
Open Source Point of Sale (opensourcepos) is a web based point of sale application written in PHP using CodeIgniter framework. Starting in version 3.4.0 and prior to version 3.4.2, a Stored Cross-Site Scripting (XSS) vulnerability exists in the "Return Policy" configuration field. The application does not properly sanitize user input before saving it to the database or displaying it on receipts. An attacker with access to the "Store Configuration" (such as a rogue administrator or an account compromised via the separate CSRF vulnerability) can inject malicious JavaScript payloads into this field. These payloads are executed in the browser of any user (including other administrators and sales staff) whenever they view a receipt or complete a transaction. This can lead to session hijacking, theft of sensitive data, or unauthorized actions performed on behalf of the victim. The vulnerability has been patched in version 3.4.2 by ensuring the output is escaped using the `esc()` function in the receipt template. As a temporary mitigation, administrators should ensure the "Return Policy" field contains only plain text and strictly avoid entering any HTML tags. There is no code-based workaround other than applying the patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS