平台
php
组件
codeigniter
修复版本
3.4.4
CVE-2026-39380是Open Source Point of Sale应用程序中发现的一个存储型跨站脚本攻击(XSS)漏洞，该应用程序使用CodeIgniter框架编写。由于未正确清理通过stock_location参数提供的用户输入，攻击者可以注入恶意JavaScript代码，该代码存储在数据库中并在员工界面渲染时执行。该漏洞影响CodeIgniter 1.0.0到3.4.2版本。该漏洞已在3.4.3版本中修复。
Open Source Point of Sale (POS) 中的 CVE-2026-39380 漏洞对使用此应用程序的 POS 系统构成重大安全风险。 这是一个存储型跨站脚本 (XSS) 漏洞，这意味着攻击者可以通过库存位置配置功能中的 stock_location 参数将恶意 JavaScript 代码注入到数据库中。 然后，当呈现员工界面时，此代码将被存储和执行。 潜在影响包括窃取员工凭据、操纵敏感数据、将用户重定向到恶意网站以及代表员工执行操作，从而损害业务和客户信息的机密性和完整性。 CVSS 分数为 5.4，表明中高风险。
攻击者可以通过在配置新的库存位置或修改现有位置时将恶意 JavaScript 代码注入到 stock_location 字段中来利用此漏洞。 此代码将存储在数据库中，并在员工访问员工界面时每次执行，例如，当查询库存位置列表时。 JavaScript 代码的执行可能允许攻击者窃取会话 Cookie、将员工重定向到网络钓鱼网站，或甚至在员工的浏览器中执行任意代码，从而损害系统安全。
Organizations using Open Source Point of Sale for their point-of-sale operations, particularly those running versions 1.0.0 through 3.4.2, are at risk. Shared hosting environments where multiple customers share the same server and database are especially vulnerable, as an attacker could potentially exploit the vulnerability through another customer's account.
• php: Examine the database for suspicious JavaScript code stored in the stock_location field. Use a database query to search for <script or javascript: patterns.
SELECT * FROM your_table_name WHERE stock_location LIKE '%<script%'• generic web: Monitor access logs for requests containing unusual or obfuscated JavaScript code in the stock_location parameter. Look for POST requests to the stock location configuration endpoint.
grep 'stock_location=[^&]*<script[^>]*>' /var/log/apache2/access.log• generic web: Check response headers for signs of XSS, such as the presence of unexpected JavaScript code in the HTML content.
disclosure
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
CVSS 向量
减轻 CVE-2026-39380 的解决方案是将 Open Source Point of Sale 更新到 3.4.3 或更高版本。 此版本包含修复程序，可以正确清理 stock_location 参数中的用户输入，从而防止恶意 JavaScript 代码的注入。 除了更新之外，还建议实施强大的安全措施，例如服务器端输入验证、使用内容安全策略 (CSP) 来限制可以执行的脚本的来源，以及培训员工有关安全最佳实践，以避免社会工程攻击。 定期的安全审计可以帮助识别和解决其他潜在漏洞。
Actualice a la versión 3.4.3 o superior para mitigar la vulnerabilidad de XSS. La actualización corrige la falta de sanitización de la entrada del usuario en el parámetro 'stock_location', previniendo la inyección de código JavaScript malicioso.
漏洞分析和关键警报直接发送到您的邮箱。
存储型 XSS 发生在攻击者将恶意代码注入到数据库中，然后将其提供给其他用户时。 由于代码在用户的上下文中执行，因此尤其危险。
如果您使用的是 Open Source Point of Sale 的 3.4.3 之前的版本，则您可能容易受到攻击。 进行渗透测试或咨询安全专业人员以确认。
立即更改所有用户密码，检查系统日志中是否存在可疑活动，并考虑从干净的备份中恢复。
有各种漏洞扫描工具可以检测 XSS，包括自动和手动工具。 一些流行的工具包括 OWASP ZAP 和 Burp Suite。
CSP 是一种额外的安全层，它允许开发人员控制浏览器可以加载的资源，从而降低 XSS 攻击的风险。