CVE-2026-39380
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
Ocena ryzyka
Atakujący może przejąć sesje pracowników, wykraść dane lub wykonać nieautoryzowane działania w systemie POS.
Rekomendacja
Zaktualizuj Open Source Point of Sale do wersji 3.4.3 lub nowszej.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-32712Średnie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
Oryginalny opis (angielski, źródło NVD)
Open Source Point of Sale is a web based point-of-sale application written in PHP using CodeIgniter framework. Prior to 3.4.3, a Stored Cross-Site Scripting (XSS) vulnerability exists in the Stock Locations configuration feature. The application fails to properly sanitize user input supplied through the stock_location parameter, allowing attackers to inject malicious JavaScript code that is stored in the database and executed when rendered in the Employees interface. This vulnerability is fixed in 3.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS