Open Source Point of Sale hat Stored XSS in Stock Location (Konfiguration)

Die CVE-2026-39380-Schwachstelle in Open Source Point of Sale (POS) stellt ein erhebliches Sicherheitsrisiko für POS-Systeme dar, die diese Anwendung verwenden. Es handelt sich um eine Stored Cross-Site Scripting (XSS)-Schwachstelle, was bedeutet, dass ein Angreifer bösartigen JavaScript-Code über den stock_location-Parameter in der Konfiguration der Lagerstandorte in die Datenbank einschleusen kann. Dieser Code wird dann gespeichert und ausgeführt, wenn die Mitarbeiter-Schnittstelle gerendert wird. Der potenzielle Schaden umfasst den Diebstahl von Mitarbeiterzugangsdaten, die Manipulation sensibler Daten, die Umleitung von Benutzern auf bösartige Websites und die Ausführung von Aktionen im Namen von Mitarbeitern, wodurch die Integrität und Vertraulichkeit von Geschäfts- und Kundendaten gefährdet werden. Der CVSS-Wert beträgt 5,4, was ein mittel-hohes Risiko anzeigt.

Organizations using Open Source Point of Sale for their point-of-sale operations, particularly those running versions 1.0.0 through 3.4.2, are at risk. Shared hosting environments where multiple customers share the same server and database are especially vulnerable, as an attacker could potentially exploit the vulnerability through another customer's account.

• php: Examine the database for suspicious JavaScript code stored in the stock_location field. Use a database query to search for <script or javascript: patterns.

SELECT * FROM your_table_name WHERE stock_location LIKE '%<script%'

• generic web: Monitor access logs for requests containing unusual or obfuscated JavaScript code in the stock_location parameter. Look for POST requests to the stock location configuration endpoint.

grep 'stock_location=[^&]*<script[^>]*>' /var/log/apache2/access.log

• generic web: Check response headers for signs of XSS, such as the presence of unexpected JavaScript code in the HTML content.

1. 2026-04-07Disclosure

   disclosure

1. Reserviert2026-04-06
2. Veröffentlicht2026-04-07
3. Geändert2026-04-08
4. EPSS aktualisiert2026-04-15

Die Lösung zur Minderung von CVE-2026-39380 ist die Aktualisierung von Open Source Point of Sale auf Version 3.4.3 oder höher. Diese Version enthält eine Korrektur, die die Benutzereingaben im stock_location-Parameter ordnungsgemäß bereinigt und so die Einschleusung von bösartigem JavaScript-Code verhindert. Zusätzlich zur Aktualisierung wird empfohlen, robuste Sicherheitsmaßnahmen zu implementieren, wie z. B. serverseitige Eingabevalidierung, die Verwendung einer Content Security Policy (CSP) zur Beschränkung der Quellen von Skripten, die ausgeführt werden können, und die Schulung von Mitarbeitern in Bezug auf bewährte Sicherheitspraktiken, um Social-Engineering-Angriffe zu vermeiden. Regelmäßige Sicherheitsaudits können helfen, andere potenzielle Schwachstellen zu identifizieren und zu beheben.