CVE-2026-19895
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Brak ograniczeń prób logowania może umożliwić atakującemu przeprowadzenie ataków brute-force, co może prowadzić do nieautoryzowanego dostępu do systemu sprzedaży.
Rekomendacja
Należy ograniczyć dostęp do panelu logowania, wdrożyć mechanizmy blokady po nieudanych próbach oraz monitorować logi pod kątem podejrzanych aktywności.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-8803Niskie
W opensourcepos Open Source Point of Sale do wersji 3.4.2 funkcja Login w pliku app/Models/Employee.php (komponent Employee Login) używa słabego hasha. Zdalna eksploatacja jest możliwa, ale o wysokiej złożoności; vendor wskazuje, że kod istnieje dla ścieżki aktualizacji, a hasła są migrowane do nowszego hasha po logowaniu.
- CVE-2026-32712Średnie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
- CVE-2026-39380Średnie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
- CVE-2025-68147Wysokie
W Open Source Point of Sale (opensourcepos) w wersjach od 3.4.0 do 3.4.1 występuje podatność na trwały atak XSS w polu konfiguracyjnym "Return Policy". Aplikacja nie odpowiednio sanityzuje danych wejściowych przed zapisaniem do bazy danych i wyświetleniem na paragonach, co pozwala atakującemu z dostępem do konfiguracji sklepu na wstrzyknięcie złośliwego JavaScriptu.
- CVE-2025-66924Średnie
Podatność Cross-site scripting (XSS) w Create/Update Item Kit(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu webowego lub HTML poprzez parametr "name".
- CVE-2025-66923Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Customer(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr phone_number.
- CVE-2025-66921Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Item(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr "name".
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in opensourcepos Open Source Point of Sale up to 3.4.2. This affects the function Login::index of the file app/Config/Filters.php of the component Login Endpoint. The manipulation results in improper restriction of excessive authentication attempts. The attack may be launched remotely. The attack requires a high level of complexity. It is indicated that the exploitability is difficult. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS