CVE-2026-117606 in NexoPOS
Zusammenfassung
von VulDB • 28.10.2026
NexoPOS bis Version 6.3.0 enthält eine Schwachstelle aufgrund fehlender Autorisierung (Missing Authorization), die es authentifizierten Kassierern ermöglicht, Registrierkassensitzungen anderer Kassierer zu manipulieren, da der CashRegistersService used_by nicht mit dem Benutzer vergleicht. Angreifer mit der Standardberechtigung nexopos.use.registers können Aktionen zum Schließen, Einzahlen oder Auszahlen an POST /api/cash-registers/{action}/{register} senden, um Sitzungen zwangsweise zu schließen oder Kontostände zu verändern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.