CVE-2025-68147

Riepilogo

Open Source Point of Sale (opensourcepos) è un'applicazione web di punto vendita scritta in PHP e basata sul framework CodeIgniter. A partire dalla versione 3.4.0 e fino alla versione 3.4.2, esiste una vulnerabilità di Cross-Site Scripting (XSS) persistente nel campo di configurazione "Return Policy". L'applicazione non sanifica correttamente l'input dell'utente prima di salvarlo nel database o di visualizzarlo sugli scontrini. Un attaccante con accesso alla "Store Configuration" (come un amministratore malintenzionato o un account compromesso tramite la separata vulnerabilità CSRF) può iniettare payload JavaScript dannosi in questo campo. Questi payload vengono eseguiti nel browser di qualsiasi utente (inclusi altri amministratori e personale di vendita) ogni volta che visualizza uno scontrino o completa una transazione. Ciò può portare al dirottamento della sessione, al furto di dati sensibili o ad azioni non autorizzate eseguite per conto della vittima. La vulnerabilità è stata corretta nella versione 3.4.2 garantendo che l'output venga escapato utilizzando la funzione `esc()` nel template dello scontrino. Come mitigazione temporanea, gli amministratori dovrebbero assicurarsi che il campo "Return Policy" contenga solo testo semplice ed evitare rigorosamente di inserire tag HTML. Non esiste una soluzione alternativa basata sul codice oltre all'applicazione della patch.

• CVE-2025-68147-OSPOS-Stored-XSSPoC

  Repository PoC per CVE-2025-68147: Cross-Site Scripting Memorizzato (XSS) in OpenSourcePOS. La vulnerabilità consente l'escalation dei privilegi tramite l'iniezione di JavaScript dannoso nel modulo Store Config. Include dettagli del payload e verifica della patch (v3.4.0). Ricercatore di sicurezza: Aditya Singh (Nixon-H).