CVE-2025-68147
opensourcepos tiene una vulnerabilidad de Cross-site Scripting
- Publicado
- 17 dic 2025
- Actualizado
- 18 dic 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 15 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 30,4 %
- Fecha del modelo
- 23 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Open Source Point of Sale (opensourcepos) es una aplicación de punto de venta basada en web escrita en PHP usando el framework CodeIgniter. A partir de la versión 3.4.0 y anterior a la versión 3.4.2, existe una vulnerabilidad de Cross-Site Scripting Almacenado (XSS) en el campo de configuración 'Política de Devolución'. La aplicación no sanitiza correctamente la entrada del usuario antes de guardarla en la base de datos o de mostrarla en los recibos. Un atacante con acceso a la 'Configuración de la Tienda' (como un administrador malintencionado o una cuenta comprometida a través de la vulnerabilidad CSRF separada) puede inyectar cargas útiles de JavaScript maliciosas en este campo. Estas cargas útiles se ejecutan en el navegador de cualquier usuario (incluyendo otros administradores y personal de ventas) cada vez que ven un recibo o completan una transacción. Esto puede llevar al secuestro de sesión, robo de datos sensibles o acciones no autorizadas realizadas en nombre de la víctima. La vulnerabilidad ha sido parcheada en la versión 3.4.2 asegurando que la salida se escape usando la función 'esc()' en la plantilla de recibo. Como mitigación temporal, los administradores deben asegurarse de que el campo 'Política de Devolución' contenga solo texto plano y eviten estrictamente introducir cualquier etiqueta HTML. No hay una solución alternativa basada en código aparte de aplicar el parche.
Fuentes
Repositorio PoC para CVE-2025-68147: Cross-Site Scripting (XSS) Almacenado en OpenSourcePOS. La vulnerabilidad permite escalada de privilegios mediante inyección de JavaScript malicioso en el módulo Store Config. Incluye detalles del payload y verificación del parche (v3.4.0). Investigador de Seguridad: Aditya Singh (Nixon-H).
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.