CVE-2026-32712
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
Ocena ryzyka
Skrypt wykonuje się w przeglądarce każdego użytkownika przeglądającego stronę dziennej sprzedaży, co może prowadzić do kradzieży danych lub sesji.
Rekomendacja
Zaktualizuj Open Source Point of Sale do wersji 3.4.3 lub nowszej.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-8803Niskie
W opensourcepos Open Source Point of Sale do wersji 3.4.2 funkcja Login w pliku app/Models/Employee.php (komponent Employee Login) używa słabego hasha. Zdalna eksploatacja jest możliwa, ale o wysokiej złożoności; vendor wskazuje, że kod istnieje dla ścieżki aktualizacji, a hasła są migrowane do nowszego hasha po logowaniu.
- CVE-2026-39380Średnie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
- CVE-2025-68147Wysokie
W Open Source Point of Sale (opensourcepos) w wersjach od 3.4.0 do 3.4.1 występuje podatność na trwały atak XSS w polu konfiguracyjnym "Return Policy". Aplikacja nie odpowiednio sanityzuje danych wejściowych przed zapisaniem do bazy danych i wyświetleniem na paragonach, co pozwala atakującemu z dostępem do konfiguracji sklepu na wstrzyknięcie złośliwego JavaScriptu.
- CVE-2025-66924Średnie
Podatność Cross-site scripting (XSS) w Create/Update Item Kit(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu webowego lub HTML poprzez parametr "name".
- CVE-2025-66923Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Customer(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr phone_number.
- CVE-2025-66921Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Item(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr "name".
Oryginalny opis (angielski, źródło NVD)
Open Source Point of Sale is a web based point-of-sale application written in PHP using CodeIgniter framework. Prior to 3.4.3, a Stored Cross-Site Scripting (XSS) vulnerability exists in the Daily Sales management table. The customer_name column is configured with escape: false in the bootstrap-table column configuration, causing customer names to be rendered as raw HTML. An attacker with customer management permissions can inject arbitrary JavaScript into a customer's first_name or last_name field, which executes in the browser of any user viewing the Daily Sales page. This vulnerability is fixed in 3.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS