CVE-2026-111637

ŚrednieCVSS 5.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

NexoPOS do wersji 6.2.4 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na odczyt rekordów transakcji księgowych przez GET /api/fields/{resource}/{identifier}. Atakujący mogą żądać klas pól transakcji, takich jak ns.entity-transaction, z sekwencyjnymi identyfikatorami, aby uzyskać nazwy, wartości, identyfikatory kont i opisy bez uprawnienia nexopos.read.transactions.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do rekordów transakcji księgowych, co prowadzi do naruszenia poufności danych finansowych. Organizacja może ponieść konsekwencje prawne i utratę zaufania klientów.

Rekomendacja

Zaktualizuj NexoPOS do wersji nowszej niż 6.2.4, jeśli jest dostępna, lub wdróż uwierzytelnianie i autoryzację dla endpointu /api/fields/{resource}/{identifier}. Ogranicz dostęp do tego endpointu i monitoruj nietypowe żądania.

Inne podatności w NexoPOS

CVE-2026-107092Krytyczne
NexoPOS w wersji v6.2.4 jest podatny na Directory Traversal poprzez endpoint api/update. Może to pozwolić atakującemu na dostęp do plików spoza zamierzonego katalogu.

Oryginalny opis (angielski, źródło NVD)

NexoPOS through 6.2.4 contains a missing authentication vulnerability that allows unauthenticated attackers to read accounting transaction records via GET /api/fields/{resource}/{identifier}. Attackers can request transaction field classes like ns.entity-transaction with sequential ids to retrieve names, values, account ids, and descriptions without nexopos.read.transactions permission.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS