CVE-2025-68147

Resumo

# Open Source Point of Sale (opensourcepos) — Vulnerabilidade XSS Armazenado O Open Source Point of Sale (opensourcepos) é uma aplicação web de ponto de venda escrita em PHP utilizando o framework CodeIgniter. A partir da versão 3.4.0 e antes da versão 3.4.2, existe uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado no campo de configuração "Return Policy" (Política de Devolução). A aplicação não sanitiza adequadamente a entrada do usuário antes de salvá-la no banco de dados ou exibi-la em recibos. Um atacante com acesso à "Store Configuration" (Configuração da Loja) (como um administrador mal-intencionado ou uma conta comprometida por meio da vulnerabilidade CSRF separada) pode injetar payloads de JavaScript malicioso neste campo. Esses payloads são executados no navegador de qualquer usuário (incluindo outros administradores e funcionários de vendas) sempre que visualizam um recibo ou concluem uma transação. Isso pode levar ao sequestro de sessão, roubo de dados sensíveis ou ações não autorizadas realizadas em nome da vítima. A vulnerabilidade foi corrigida na versão 3.4.2, garantindo que a saída seja escapada usando a função `esc()` no template de recibo. Como mitigação temporária, os administradores devem garantir que o campo "Return Policy" contenha apenas texto simples e evitar estritamente a inserção de quaisquer tags HTML. Não há solução alternativa baseada em código além da aplicação do patch.

• CVE-2025-68147-OSPOS-Stored-XSSPoC

  Repositório de PoC para CVE-2025-68147: Cross-Site Scripting (XSS) Armazenado no OpenSourcePOS. A vulnerabilidade permite escalonamento de privilégios por meio de injeção de JavaScript malicioso no módulo Store Config. Inclui detalhes do payload e verificação do patch (v3.4.0). Pesquisador de Segurança: Aditya Singh (Nixon-H).