Plattform
php
Komponente
codeigniter
Behoben in
3.4.4
CVE-2026-32712 describes a Stored Cross-Site Scripting (XSS) vulnerability within the Open Source Point of Sale application, built using the CodeIgniter framework. This flaw allows an attacker to inject malicious JavaScript code into the customer_name field of the Daily Sales management table. The vulnerability impacts versions 1.0.0 through 3.4.2 of the application, and a fix is available in version 3.4.3.
Die CVE-2026-32712-Schwachstelle in Open Source Point of Sale (opensourcepos) stellt ein Risiko von Cross-Site Scripting (XSS) vom Typ gespeichert dar. Insbesondere führt eine fehlerhafte Konfiguration der Spalte 'customername' in der Tabelle für die täglichen Verkaufsstatistiken, mit 'escape: false', dazu, dass Kundennamen als rohes HTML dargestellt werden. Dies ermöglicht einem Angreifer mit Kundenverwaltungsrechten, bösartigen JavaScript-Code in die Felder 'firstname' oder 'last_name' eines Kunden einzuschleusen. Sobald dieser Code eingeschleust wurde, wird er im Browser jedes Benutzers ausgeführt, der auf die Kundeninformationen zugreift, was zu einem Diebstahl von Cookies, einer Weiterleitung auf bösartige Websites oder einer Veränderung des Erscheinungsbildes der Anwendung führen kann. Die CVSS-Schwerebewertung beträgt 5,4, was ein mittleres bis hohes Risiko anzeigt. Die Anwendung wird in Point-of-Sale-Umgebungen eingesetzt, in denen sensible Kundendaten und Finanztransaktionen verarbeitet werden, was das potenzielle Schadensausmaß einer Ausnutzung erhöht.
Ein Angreifer mit Kundenverwaltungsrechten kann diese Schwachstelle ausnutzen. Der Angriff beinhaltet das Erstellen oder Ändern eines Kundeneintrags und das Einschleusen von bösartigem JavaScript-Code in die Felder 'firstname' oder 'lastname'. Wenn ein anderer Benutzer (z. B. ein Mitarbeiter oder ein Kunde, der auf seinen Kaufverlauf zugreift) die geänderten Kundeninformationen aufruft, wird der eingeschleuste JavaScript-Code in seinem Browser ausgeführt. Der Erfolg der Ausnutzung hängt von der Fähigkeit des Angreifers ab, Kundenverwaltungsrechte zu erlangen, und vom Fehlen einer ordnungsgemäßen HTML-Maskierung in der Spalte 'customer_name'. Die gespeicherte Natur der Schwachstelle bedeutet, dass der bösartige Code in der Datenbank verbleibt und alle Benutzer betrifft, die auf die kompromittierten Kundeninformationen zugreifen.
Organizations using the Open Source Point of Sale application with versions 1.0.0 through 3.4.2, particularly those with customer-facing interfaces and limited input validation, are at risk. Shared hosting environments where multiple applications share the same server resources are also at increased risk, as a compromised application could potentially impact other tenants.
• php / web:
grep -r "escape: false" /path/to/opensrcpos/application/config/bootstrap.php• generic web:
curl -I http://your-pos-instance/daily_sales | grep -i content-security-policy• generic web:
Check access logs for unusual POST requests to the Daily Sales page with potentially malicious input in the customer_name parameter.
disclosure
Exploit-Status
EPSS
0.02% (6% Perzentil)
CISA SSVC
CVSS-Vektor
Die Lösung für diese Schwachstelle besteht darin, auf Version 3.4.3 oder höher von Open Source Point of Sale zu aktualisieren. Diese Version behebt die fehlerhafte Konfiguration der Spalte 'customer_name', indem sie die korrekte HTML-Maskierung implementiert, wodurch die Einschleusung von bösartigem Code verhindert wird. Darüber hinaus wird empfohlen, die Zugriffskontrollrichtlinien zu überprüfen und zu verstärken, um die Kundenverwaltungsrechte nur autorisierten Benutzern zu gewähren. Die Implementierung einer robusten Eingabevalidierung und -bereinigung ist eine allgemeine Sicherheitsempfehlung, die dazu beiträgt, zukünftige XSS-Schwachstellen zu verhindern. Regelmäßige Überwachung der Anwendungslogs auf verdächtige Aktivitäten kann ebenfalls dazu beitragen, potenzielle Angriffe zu erkennen und abzuwehren. Regelmäßige Penetrationstests sind unerlässlich, um alle anderen Sicherheitsschwachstellen zu identifizieren und zu beheben.
Actualice a la versión 3.4.3 o superior para mitigar la vulnerabilidad de XSS. La actualización corrige la configuración incorrecta del escape en la columna customer_name, evitando la inyección de código malicioso.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Gespeichertes XSS (oder persistent) tritt auf, wenn bösartiger Code in einer Datenbank oder einer anderen serverseitigen Ressource gespeichert und jedes Mal ausgeführt wird, wenn ein Benutzer die Seite aufruft, die ihn enthält.
Der Angreifer benötigt Kundenverwaltungsberechtigungen innerhalb der Open Source Point of Sale-Anwendung.
Wenn Sie eine Version vor 3.4.3 von Open Source Point of Sale verwenden, sind Sie wahrscheinlich betroffen. Führen Sie ein Upgrade auf die neueste Version durch.
Beschränken Sie den Zugriff auf die Kundenverwaltung, überprüfen Sie die Anwendungslogs auf verdächtige Aktivitäten und ziehen Sie in Erwägung, eine Web Application Firewall (WAF) einzusetzen.
Sie finden weitere Informationen zu CVE-2026-32712 in Schwachstellendatenbanken wie der National Vulnerability Database (NVD) des NIST.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.