Open Source Point of Sale には顧客名 (販売) に Stored XSS が存在します

Open Source Point of Sale (opensourcepos) の CVE-2026-32712 は、Stored Cross-Site Scripting (XSS) の脆弱性です。具体的には、日次売上管理テーブルの 'customername' 列が 'escape: false' と設定されているため、顧客の名前が HTML として生で表示されます。これにより、顧客管理権限を持つ攻撃者は、顧客の 'firstname' または 'last_name' フィールドに悪意のある JavaScript コードを注入できます。注入されたコードは、顧客情報にアクセスするすべてのユーザーのブラウザで実行され、Cookie の窃盗、悪意のあるサイトへのリダイレクト、またはアプリケーションの外観の変更につながる可能性があります。CVSS の深刻度は 5.4 で、中程度から高リスクを示しています。このアプリケーションは、機密性の高い顧客データと金融取引を扱う POS 環境で使用されるため、脆弱性の悪用による潜在的な影響が増大します。

Organizations using the Open Source Point of Sale application with versions 1.0.0 through 3.4.2, particularly those with customer-facing interfaces and limited input validation, are at risk. Shared hosting environments where multiple applications share the same server resources are also at increased risk, as a compromised application could potentially impact other tenants.

• php / web:

grep -r "escape: false" /path/to/opensrcpos/application/config/bootstrap.php

• generic web:

curl -I http://your-pos-instance/daily_sales | grep -i content-security-policy

• generic web: Check access logs for unusual POST requests to the Daily Sales page with potentially malicious input in the customer_name parameter.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-15

この脆弱性の解決策は、Open Source Point of Sale をバージョン 3.4.3 以降にアップグレードすることです。このバージョンでは、'customer_name' 列の設定ミスを修正し、HTML エスケープを適切に実装することで、悪意のあるコードの注入を防ぎます。さらに、顧客管理権限を承認されたユーザーのみに制限するように、アクセス制御ポリシーを見直し、強化することをお勧めします。すべてのユーザー入力を堅牢に検証およびサニタイズすることは、将来の XSS 脆弱性を防止するための一般的なセキュリティのベストプラクティスです。アプリケーションログを定期的に監視して疑わしいアクティビティを検出することも、潜在的な攻撃に対応するのに役立ちます。定期的なペネトレーションテストは、他のセキュリティ脆弱性を特定して修正するために不可欠です。