CVE-2026-39380
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.
Ocena ryzyka
Atakujący może przejąć sesje pracowników, wykraść dane lub wykonać nieautoryzowane działania w systemie POS.
Rekomendacja
Zaktualizuj Open Source Point of Sale do wersji 3.4.3 lub nowszej.
Inne podatności w Open Source Point of Sale
Zobacz wszystkie- CVE-2026-19895Niskie
W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-8803Niskie
W opensourcepos Open Source Point of Sale do wersji 3.4.2 funkcja Login w pliku app/Models/Employee.php (komponent Employee Login) używa słabego hasha. Zdalna eksploatacja jest możliwa, ale o wysokiej złożoności; vendor wskazuje, że kod istnieje dla ścieżki aktualizacji, a hasła są migrowane do nowszego hasha po logowaniu.
- CVE-2026-32712Średnie
Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.
- CVE-2025-68147Wysokie
W Open Source Point of Sale (opensourcepos) w wersjach od 3.4.0 do 3.4.1 występuje podatność na trwały atak XSS w polu konfiguracyjnym "Return Policy". Aplikacja nie odpowiednio sanityzuje danych wejściowych przed zapisaniem do bazy danych i wyświetleniem na paragonach, co pozwala atakującemu z dostępem do konfiguracji sklepu na wstrzyknięcie złośliwego JavaScriptu.
- CVE-2025-66924Średnie
Podatność Cross-site scripting (XSS) w Create/Update Item Kit(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu webowego lub HTML poprzez parametr "name".
- CVE-2025-66923Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Customer(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr phone_number.
- CVE-2025-66921Wysokie
Podatność typu Cross-site scripting (XSS) w module Create/Update Item(s) w Open Source Point of Sale v3.4.1 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr "name".
Oryginalny opis (angielski, źródło NVD)
Open Source Point of Sale is a web based point-of-sale application written in PHP using CodeIgniter framework. Prior to 3.4.3, a Stored Cross-Site Scripting (XSS) vulnerability exists in the Stock Locations configuration feature. The application fails to properly sanitize user input supplied through the stock_location parameter, allowing attackers to inject malicious JavaScript code that is stored in the database and executed when rendered in the Employees interface. This vulnerability is fixed in 3.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS