CVE-2025-68147

Zusammenfassung

Open Source Point of Sale (opensourcepos) ist eine webbasierte Point-of-Sale-Anwendung, die in PHP mit dem CodeIgniter-Framework geschrieben ist. Ab Version 3.4.0 und vor Version 3.4.2 besteht eine Schwachstelle für gespeichertes Cross-Site-Scripting (XSS) im Konfigurationsfeld „Return Policy“. Die Anwendung bereinigt Benutzereingaben nicht ordnungsgemäß, bevor sie in der Datenbank gespeichert oder auf Belegen angezeigt werden. Ein Angreifer mit Zugriff auf die „Store Configuration“ (etwa ein betrügerischer Administrator oder ein Konto, das über die separate CSRF-Schwachstelle kompromittiert wurde) kann bösartige JavaScript-Payloads in dieses Feld injizieren. Diese Payloads werden im Browser jedes Benutzers (einschließlich anderer Administratoren und Verkaufspersonal) ausgeführt, sobald dieser einen Beleg anzeigt oder eine Transaktion abschließt. Dies kann zu Session-Hijacking, Diebstahl sensibler Daten oder unbefugten Aktionen im Namen des Opfers führen. Die Schwachstelle wurde in Version 3.4.2 behoben, indem sichergestellt wird, dass die Ausgabe in der Belegvorlage mithilfe der Funktion `esc()` maskiert wird. Als vorübergehende Gegenmaßnahme sollten Administratoren sicherstellen, dass das Feld „Return Policy“ nur Klartext enthält und die Eingabe von HTML-Tags strikt vermeiden. Es gibt keine codebasierte Problemumgehung außer der Anwendung des Patches.

• CVE-2025-68147-OSPOS-Stored-XSSPoC

  PoC-Repository für CVE-2025-68147: Stored Cross-Site Scripting (XSS) in OpenSourcePOS. Die Schwachstelle ermöglicht eine Privilegienausweitung durch bösartige JavaScript-Injektion im Store-Config-Modul. Enthält Payload-Details und Patch-Verifizierung (v3.4.0). Sicherheitsforscher: Aditya Singh (Nixon-H).