CVE-2025-68147 in Open Source Point of Sale
الملخص
بحسب VulDB • 15/05/2026
تطبيق نقطة البيع مفتوح المصدر (Open Source Point of Sale - opensourcepos) هو تطبيق نقطة بيع يعمل عبر الويب ومكتوب بلغة PHP باستخدام إطار عمل CodeIgniter. بدءاً من الإصدار 3.4.0 وحتى الإصدارات السابقة لـ 3.4.2، توجد ثغرة في تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting - XSS) في حقل إعدادات "سياسة الإرجاع". لا يقوم التطبيق بتنظيف مدخلات المستخدم بشكل صحيح قبل حفظها في قاعدة البيانات أو عرضها على الإيصالات. يمكن لمهاجم لديه وصول إلى "إعدادات المتجر" (مثل مسؤول مخادع أو حساب تم اختراقه عبر ثغرة CSRF منفصلة) حقن حمولات برمجية JavaScript ضارة في هذا الحقل. يتم تنفيذ هذه الحمولات في متصفح أي مستخدم (بما في ذلك المسؤولون الآخرون وموظفو المبيعات) كلما قاموا بعرض إيصال أو إتمام عملية بيع. قد يؤدي ذلك إلى اختطاف الجلسة، أو سرقة البيانات الحساسة، أو تنفيذ إجراءات غير مصرح بها نيابة عن الضحية. تم إصلاح الثغرة في الإصدار 3.4.2 عن طريق ضمان هروب المخرجات باستخدام دالة `esc()` في قالب الإيصال. كإجراء تخفيف مؤقت، يجب على المسؤولين التأكد من أن حقل "سياسة الإرجاع" يحتوي فقط على نص عادي وتجنب إدخال أي وسوم HTML بشكل صارم. لا يوجد حل بديل قائم على الكود غير تطبيق التصحيح.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.