CVE-2025-68147 in Open Source Point of Sale
Сводка
по VulDB • 23.05.2026
Open Source Point of Sale (opensourcepos) — это веб-приложение для точек продаж, написанное на PHP с использованием фреймворка CodeIgniter. Начиная с версии 3.4.0 и вплоть до версии 3.4.2 (включительно), в поле конфигурации «Return Policy» (Политика возврата) существует уязвимость Stored Cross-Site Scripting (XSS). Приложение не осуществляет надлежащую санитизацию пользовательского ввода перед сохранением его в базе данных или отображением на чеках. Злоумышленник, имеющий доступ к «Store Configuration» (например, недобросовестный администратор или учетная запись, скомпрометированная посредством отдельной уязвимости CSRF), может внедрить вредоносные JavaScript-полезные нагрузки в это поле. Эти полезны нагрузки выполняются в браузере любого пользователя (включая других администраторов и сотрудников отдела продаж) всякий раз, когда они просматривают чек или завершают транзакцию. Это может привести к перехвату сессии (session hijacking), краже конфиденциальных данных или выполнению несанкционированных действий от имени жертвы. Уязвимость была устранена в версии 3.4.2 путем обеспечения экранирования вывода с использованием функции `esc()` в шаблоне чека. В качестве временной меры защиты администраторам следует убедиться, что поле «Return Policy» содержит только обычный текст, и строго избегать ввода любых HTML-тегов. Обходного решения на уровне кода, помимо применения патча, не существует.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.