CVE-2026-8803
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W opensourcepos Open Source Point of Sale do wersji 3.4.2 funkcja Login w pliku app/Models/Employee.php (komponent Employee Login) używa słabego hasha. Zdalna eksploatacja jest możliwa, ale o wysokiej złożoności; vendor wskazuje, że kod istnieje dla ścieżki aktualizacji, a hasła są migrowane do nowszego hasha po logowaniu.
Ocena ryzyka
Słabe hashowanie haseł może ułatwić ich złamanie w przypadku wycieku bazy danych, choć rzeczywiste istnienie podatności jest obecnie kwestionowane.
Rekomendacja
Zaktualizuj Open Source Point of Sale do najnowszej wersji i upewnij się, że wszystkie konta mają hasła migrowane do nowego mechanizmu hashowania.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-32712Średnie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
- CVE-2026-39380Średnie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
- CVE-2025-68147Wysokie
W Open Source Point of Sale (opensourcepos) w wersjach od 3.4.0 do 3.4.1 występuje podatność na trwały atak XSS w polu konfiguracyjnym "Return Policy". Aplikacja nie odpowiednio sanityzuje danych wejściowych przed zapisaniem do bazy danych i wyświetleniem na paragonach, co pozwala atakującemu z dostępem do konfiguracji sklepu na wstrzyknięcie złośliwego JavaScriptu.
- CVE-2025-66924Średnie
Podatność Cross-site scripting (XSS) w Create/Update Item Kit(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu webowego lub HTML poprzez parametr "name".
- CVE-2025-66923Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Customer(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr phone_number.
- CVE-2025-66921Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Item(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr "name".
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in opensourcepos Open Source Point of Sale up to 3.4.2. Impacted is the function Login of the file app/Models/Employee.php of the component Employee Login. This manipulation causes use of weak hash. Remote exploitation of the attack is possible. The attack is considered to have high complexity. The exploitability is considered difficult. The actual existence of this vulnerability is currently in question. The vendor explains: "[T]he code is still there to allow the upgrade path to work. The default password is initially seeded with the old hash function, but then migrated to a newer one after login. [T]he hash version check might be cleaned up in the future. Currently it's not actively in use as any password change will use a newer hash function."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS