CVE-2025-68147 in Open Source Point of Sale
Riassunto
di VulDB • 15/06/2026
Open Source Point of Sale (opensourcepos) è un'applicazione di punto vendita basata su web scritta in PHP utilizzando il framework CodeIgniter. A partire dalla versione 3.4.0 e fino alla versione 3.4.2, esiste una vulnerabilità Stored Cross-Site Scripting (XSS) nel campo di configurazione "Return Policy" (Politica di reso). L'applicazione non sanizza correttamente l'input dell'utente prima di salvarlo nel database o di visualizzarlo sulle ricevute. Un attaccante con accesso alla "Store Configuration" (Configurazione del negozio), come un amministratore malintenzionato o un account compromesso tramite una vulnerabilità CSRF separata, può iniettare payload JavaScript malevoli in questo campo. Questi payload vengono eseguiti nel browser di qualsiasi utente (inclusi altri amministratori e personale di vendita) ogni volta che visualizza una ricevuta o completa una transazione. Ciò può portare al session hijacking, al furto di dati sensibili o all'esecuzione di azioni non autorizzate per conto della vittima. La vulnerabilità è stata risolta nella versione 3.4.2 garantendo l'escaping dell'output utilizzando la funzione `esc()` nel template delle ricevute. Come mitigazione temporanea, gli amministratori dovrebbero assicurarsi che il campo "Return Policy" contenga solo testo normale e evitare rigorosamente di inserire tag HTML. Non esistono soluzioni alternative basate sul codice oltre all'applicazione della patch.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.