CVE-2026-107092

KrytyczneCVSS 9.8

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Streszczenie

NexoPOS w wersji v6.2.4 jest podatny na Directory Traversal poprzez endpoint api/update. Może to pozwolić atakującemu na dostęp do plików spoza zamierzonego katalogu.

Ocena ryzyka

Atakujący może wykorzystać podatność do odczytu lub manipulacji plikami poza dozwolonym katalogiem, co może prowadzić do ujawnienia danych lub wykonania nieautoryzowanych operacji.

Rekomendacja

Zaktualizuj NexoPOS do wersji zawierającej poprawkę. Wprowadź walidację ścieżek w endpoincie api/update, aby zapobiec traversalowi.

Inne podatności w NexoPOS

CVE-2026-111637Średnie
NexoPOS do wersji 6.2.4 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na odczyt rekordów transakcji księgowych przez GET /api/fields/{resource}/{identifier}. Atakujący mogą żądać klas pól transakcji, takich jak ns.entity-transaction, z sekwencyjnymi identyfikatorami, aby uzyskać nazwy, wartości, identyfikatory kont i opisy bez uprawnienia nexopos.read.transactions.

Oryginalny opis (angielski, źródło NVD)

NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS