smarttfoxx/cve-2025-67263Proof of Concept für gespeichertes Cross-Site-Scripting (XSS) in Abacre Retail Point of Sale 14.0.0.396, das die Injektion über die Felder Name und Nachname im Modul Clients demonstriert.
Abacre Retail Point of Sale 14.0.0.396 ist von einer Schwachstelle für gespeichertes Cross-Site-Scripting (XSS) im Modul „Clients“ betroffen. Die Anwendung bereinigt die vom Benutzer bereitgestellten Eingaben, die in den Feldern „Name“ und „Nachname“ gespeichert werden, nicht ordnungsgemäß. Ein Angreifer kann bösartige HTML- oder Skriptinhalte in diese Felder einfügen, die in der Datenbank gespeichert werden.
Die Felder „Name“ und „Nachname“ unter dem Tab „Clients“ sind anfällig für gespeichertes Cross-Site-Scripting (XSS).
Durch Hinzufügen einer einfachen Payload wie <script>alert("xss 1")</script>, Speichern der Benutzerdaten in der Datenbank und anschließendem Klicken auf „Statement“ wird die Vorschau-Webseite das XSS auslösen.
Da die Payload in der Datenbank gespeichert wird, wird sie jedes Mal ausgelöst, wenn bei ausgewähltem Benutzer auf die Schaltfläche „Statement“ geklickt wird.
