CVE-2026-107092
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
NexoPOS w wersji v6.2.4 jest podatny na Directory Traversal poprzez endpoint api/update. Może to pozwolić atakującemu na dostęp do plików spoza zamierzonego katalogu.
Ocena ryzyka
Atakujący może wykorzystać podatność do odczytu lub manipulacji plikami poza dozwolonym katalogiem, co może prowadzić do ujawnienia danych lub wykonania nieautoryzowanych operacji.
Rekomendacja
Zaktualizuj NexoPOS do wersji zawierającej poprawkę. Wprowadź walidację ścieżek w endpoincie api/update, aby zapobiec traversalowi.
Inne podatności w NexoPOS
Zobacz wszystkie- CVE-2026-111637Średnie
NexoPOS do wersji 6.2.4 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na odczyt rekordów transakcji księgowych przez GET /api/fields/{resource}/{identifier}. Atakujący mogą żądać klas pól transakcji, takich jak ns.entity-transaction, z sekwencyjnymi identyfikatorami, aby uzyskać nazwy, wartości, identyfikatory kont i opisy bez uprawnienia nexopos.read.transactions.
- CVE-2026-117606Średnie
NexoPOS do wersji 6.3.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym kasjerom na manipulowanie sesjami kasowymi innych kasjerów, ponieważ CashRegistersService nigdy nie porównuje pola used_by z użytkownikiem. Atakujący posiadający domyślne uprawnienie nexopos.use.registers może wysyłać akcje zamknięcia, cash-in lub cash-out do POST /api/cash-registers/{action}/{register}, aby wymusić zamknięcie sesji lub zmienić salda.
Oryginalny opis (angielski, źródło NVD)
NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS