CVE-2025-68147

Open Source Point of Sale (opensourcepos), CodeIgniter framework kullanılarak PHP ile yazılmış web tabanlı bir satış noktası uygulamasıdır. Versiyon 3.4.0'dan başlayarak versiyon 3.4.2 öncesine kadar olan sürümlerde, "Return Policy" yapılandırma alanında Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti bulunmaktadır. Uygulama, kullanıcı girişini veritabanına kaydetmeden veya makbuzlarda görüntülemeden önce uygun şekilde temizlememektedir. "Store Configuration" erişimine sahip bir saldırgan (kötü niyetli bir yönetici veya ayrı bir CSRF zafiyeti aracılığıyla ele geçirilmiş bir hesap gibi), bu alana kötü amaçlı JavaScript yükleri enjekte edebilir. Bu yükler; diğer yöneticiler ve satış personeli dahil olmak üzere herhangi bir kullanıcı makbuzu görüntülediğinde veya bir işlemi tamamladığında kullanıcının tarayıcısında çalıştırılır. Bu durum oturum çalma, hassas verilerin hırsızlığına veya mağdur adına yetkisiz işlemler yapılmasına yol açabilir. Zafiyet, makbuz şablonunda çıktıların `esc()` fonksiyonu kullanılarak kaçırılmasının sağlanmasıyla versiyon 3.4.2'de giderilmiştir. Geçici bir önlem olarak yöneticiler, "Return Policy" alanının yalnızca düz metin içerdiğinden emin olmalı ve herhangi bir HTML etiketi girmekten kesinlikle kaçınmalıdır. Yamayı uygulamak dışında kod tabanlı bir çözüm yolu bulunmamaktadır.