Open Source Point of Sale は、パスワード変更 (Home) で IDOR を実行可能

openSourcePOSのバージョン3.4.2より前のバージョンにおけるIDOR（Insecure Direct Object Reference）の脆弱性は、認証済みで権限の低いユーザーが、employee_idパラメータを操作することで、他のユーザー（管理者を含む）のパスワード変更機能にアクセスし、変更することを可能にします。アプリケーションはオブジェクトの所有権の検証や認証チェックを行いません。これにより、攻撃者が管理者アカウントを乗っ取り、POSシステム全体と機密データを侵害する可能性があります。この脆弱性の重大性は、不正アクセスとデータ侵害の潜在的な影響によるものです。

Organizations utilizing Open Source Point of Sale versions 3.4.2 and earlier, particularly those with multiple user accounts and administrator privileges, are at risk. Shared hosting environments where multiple POS systems share the same server infrastructure could also be impacted, as a compromise of one system could potentially lead to the compromise of others.

• codeigniter: Examine application logs for suspicious requests manipulating the employee_id parameter.

grep 'employee_id=' /var/log/apache2/access.log

• generic web: Monitor access logs for unusual patterns of requests targeting the password change endpoint with varying employee_id values.

curl -v 'http://your-pos-system/password_reset.php?employee_id=1' # Test with different IDs

• generic web: Check response headers for any signs of unauthorized access or privilege escalation.

curl -I 'http://your-pos-system/password_reset.php?employee_id=1' # Check status code and headers

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-27
3. EPSS 更新日2026-04-03

この脆弱性への推奨される軽減策は、openSourcePOSをバージョン3.4.2以降にアップグレードすることです。このバージョンでは、オブジェクトレベルの認証制御が導入され、不正アクセスを効果的に防止します。さらに、管理者アカウントに対して多要素認証（MFA）を実装し、ユーザー権限を定期的に確認することを強く推奨します。潜在的なセキュリティ脆弱性を積極的に特定し、修正するために、定期的なペネトレーションテストを実施する必要があります。搾取のリスクを最小限に抑えるために、迅速なパッチ適用が不可欠です。