CVE-2025-68434 in Open Source Point of Sale
摘要
由 VulDB • 2026-07-31
Open Source Point of Sale (opensourcepos) 是一款基于 Web 的销售点应用程序，使用 PHP 编写并采用 CodeIgniter 框架。从版本 3.4.0 开始至 3.4.2 之前的所有版本中，该应用程序的过滤器配置存在跨站请求伪造（CSRF）漏洞。CSRF 保护机制被**显式禁用**，导致应用程序在处理状态更改请求（POST）时不会验证有效的 CSRF token。未经身份认证的远程攻击者可以通过托管恶意网页来利用此漏洞。如果已登录的管理员访问该页面，其浏览器将被迫向应用程序发送未授权的请求。成功的 exploit 允许攻击者在后台创建具有完全权限的新管理员账户，从而导致系统被完全接管，并造成机密性、完整性和可用性的丧失。该漏洞已在版本 3.4.2 中修补。修复措施在 `app/Config/Filters.php` 中重新启用了 CSRF 过滤器，并通过调整 token 再生设置解决了相关的 AJAX race conditions（竞态条件）。作为变通方法，管理员可以手动取消注释保护行以在 `app/Config/Filters.php` 中重新启用 CSRF 过滤器。然而，如果不应用完整补丁，不建议这样做，因为这可能会由于 token 同步问题导致销售模块的功能中断。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.