CVE-2026-117606
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
NexoPOS do wersji 6.3.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym kasjerom na manipulowanie sesjami kasowymi innych kasjerów, ponieważ CashRegistersService nigdy nie porównuje pola used_by z użytkownikiem. Atakujący posiadający domyślne uprawnienie nexopos.use.registers może wysyłać akcje zamknięcia, cash-in lub cash-out do POST /api/cash-registers/{action}/{register}, aby wymusić zamknięcie sesji lub zmienić salda.
Ocena ryzyka
Kasjerzy mogą bezprawnie zamykać sesje innych kasjerów lub modyfikować salda, co prowadzi do błędów finansowych i możliwych nadużyć. Organizacja może ponieść straty finansowe oraz utratę integralności danych sprzedaży.
Rekomendacja
Zaktualizuj NexoPOS do wersji nowszej niż 6.3.0, jeśli jest dostępna, lub wdróż kontrolę uprawnień porównującą used_by z bieżącym użytkownikiem. Ogranicz uprawnienie nexopos.use.registers do niezbędnego personelu i monitoruj nietypowe akcje na kasach.
Inne podatności w NexoPOS
Zobacz wszystkie- CVE-2026-111637Średnie
NexoPOS do wersji 6.2.4 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na odczyt rekordów transakcji księgowych przez GET /api/fields/{resource}/{identifier}. Atakujący mogą żądać klas pól transakcji, takich jak ns.entity-transaction, z sekwencyjnymi identyfikatorami, aby uzyskać nazwy, wartości, identyfikatory kont i opisy bez uprawnienia nexopos.read.transactions.
- CVE-2026-107092Krytyczne
NexoPOS w wersji v6.2.4 jest podatny na Directory Traversal poprzez endpoint api/update. Może to pozwolić atakującemu na dostęp do plików spoza zamierzonego katalogu.
Oryginalny opis (angielski, źródło NVD)
NexoPOS through 6.3.0 contains a missing authorization vulnerability that allows authenticated cashiers to manipulate other cashiers' register sessions because CashRegistersService never compares used_by with the user. Attackers holding the default nexopos.use.registers permission can submit closing, cash-in, or cash-out actions to POST /api/cash-registers/{action}/{register} to force-close sessions or alter balances.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS