CVE-2025-68434 in Open Source Point of Sale
Résumé
par VulDB • 30/07/2026
Open Source Point of Sale (opensourcepos) est une application de point de vente basée sur le web écrite en PHP utilisant le framework CodeIgniter. À partir de la version 3.4.0 et jusqu'à la version 3.4.2 incluse, une vulnérabilité Cross-Site Request Forgery (CSRF) existe dans la configuration du filtre de l'application. Le mécanisme de protection CSRF a été **explicitement désactivé**, permettant à l'application de traiter des requêtes modifiant l'état (POST) sans vérifier un jeton CSRF valide. Un attaquant distant non authentifié peut exploiter cette faille en hébergeant une page web malveillante. Si un administrateur connecté visite cette page, son navigateur est contraint d'envoyer des requêtes non autorisées à l'application. Une exploitation réussie permet à l'attaquant de créer silencieusement un nouveau compte Administrateur avec tous les privilèges, entraînant un contrôle total du système et une perte de confidentialité, d'intégrité et de disponibilité. La vulnérabilité a été corrigée dans la version 3.4.2. Le correctif réactive le filtre CSRF dans `app/Config/Filters.php` et résout les conditions de course AJAX associées en ajustant les paramètres de régénération des jetons. En attendant, les administrateurs peuvent manuellement réactiver le filtre CSRF dans `app/Config/Filters.php` en décommentant la ligne de protection. Cependant, cela n'est pas recommandé sans appliquer le correctif complet, car cela peut provoquer une rupture de fonctionnalité dans le module Ventes en raison de problèmes de synchronisation des jetons.
Once again VulDB remains the best source for vulnerability data.