OpenSourcePOS Cross-Site Request Forgery

Beschreibung

Open Source Point of Sale (opensourcepos) ist eine webbasierte Kassenanwendung in PHP auf Basis des CodeIgniter-Frameworks. Ab Version 3.4.0 und vor Version 3.4.2 besteht eine Cross-Site-Request-Forgery-Schwachstelle in der Filterkonfiguration der Anwendung. Der CSRF-Schutzmechanismus war ausdrücklich deaktiviert, sodass zustandsändernde POST-Anfragen ohne gültiges CSRF-Token verarbeitet wurden. Ein nicht authentifizierter entfernter Angreifer kann dies über eine praeparierte Webseite ausnutzen und unbemerkt ein neues Administratorkonto mit vollen Rechten anlegen, was zu einer vollständigen Übernahme des Systems führt. Die Schwachstelle wurde in Version 3.4.2 behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 3.4.2.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Check Point

• Check Point SmartConsole: Umgehung der Authentifizierung KEV CVE-2026-16232
• Authentifizierungsumgehung bei Zertifikatsprüfung im veralteten IKEv1-Schlüsselaustausch KEV CVE-2026-50751
• TrueConf Client – Download ohne Integritätsprüfung KEV CVE-2026-3502
• Notepad++ – Download of Code Without Integrity Check KEV CVE-2025-15556
• Linux Kernel – TOCTOU Race Condition KEV CVE-2025-38352
• D-Link DNR-322L – Download of Code Without Integrity Check KEV CVE-2022-40799