CVE-2026-32712
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
Ocena ryzyka
Skrypt wykonuje się w przeglądarce każdego użytkownika przeglądającego stronę dziennej sprzedaży, co może prowadzić do kradzieży danych lub sesji.
Rekomendacja
Zaktualizuj Open Source Point of Sale do wersji 3.4.3 lub nowszej.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-39380Średnie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
Oryginalny opis (angielski, źródło NVD)
Open Source Point of Sale is a web based point-of-sale application written in PHP using CodeIgniter framework. Prior to 3.4.3, a Stored Cross-Site Scripting (XSS) vulnerability exists in the Daily Sales management table. The customer_name column is configured with escape: false in the bootstrap-table column configuration, causing customer names to be rendered as raw HTML. An attacker with customer management permissions can inject arbitrary JavaScript into a customer's first_name or last_name field, which executes in the browser of any user viewing the Daily Sales page. This vulnerability is fixed in 3.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS