CVE-2025-68434

Zusammenfassung

Open Source Point of Sale (opensourcepos) ist eine webbasierte Point-of-Sale-Anwendung, die in PHP mit dem CodeIgniter-Framework geschrieben ist. Ab Version 3.4.0 und vor Version 3.4.2 besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) in der Filterkonfiguration der Anwendung. Der CSRF-Schutzmechanismus wurde **explizit deaktiviert**, wodurch die Anwendung zustandsändernde Anfragen (POST) verarbeiten kann, ohne ein gültiges CSRF-Token zu überprüfen. Ein nicht authentifizierter Remote-Angreifer kann dies ausnutzen, indem er eine bösartige Webseite hostet. Wenn ein angemeldeter Administrator diese Seite besucht, wird sein Browser gezwungen, unbefugte Anfragen an die Anwendung zu senden. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, stillschweigend ein neues Administrator-Konto mit vollständigen Berechtigungen zu erstellen, was zu einer vollständigen Übernahme des Systems und zum Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führt. Die Schwachstelle wurde in Version 3.4.2 behoben. Der Fix aktiviert den CSRF-Filter in `app/Config/Filters.php` wieder und behebt damit verbundene AJAX-Race-Conditions, indem die Einstellungen zur Token-Regenerierung angepasst werden. Als Workaround können Administratoren den CSRF-Filter in `app/Config/Filters.php` manuell wieder aktivieren, indem sie die Schutzzeile auskommentieren. Dies wird jedoch ohne Anwendung des vollständigen Patches nicht empfohlen, da es aufgrund von Token-Synchronisierungsproblemen zu Funktionsstörungen im Verkaufsmodul führen kann.

Quellen

• CVE-2025-68434-OSPOS-CSRFPoC

  PoC & Write-up für CVE-2025-68434: Kritische CSRF in OpenSourcePOS. Nutzt eine deaktivierte Filterkonfiguration aus, um nicht authentifizierten Angreifern zu ermöglichen, stillschweigend betrügerische Administrator-Konten zu erstellen, was zu einer vollständigen Systemübernahme führt. Bestätigt für Versionen < 3.4.0.