CVE-2026-117606mediumCWE-639

CVE-2026-117606: falha de média gravidade em Blair2004 NexoPOS

NexoPOS through 6.3.0 Missing Authorization via Cash Register Session Actions

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar NexoPOS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 5.3epss 0.3%
NexoPOS through 6.3.0 contains a missing authorization vulnerability that allows authenticated cashiers to manipulate other cashiers' register sessions because CashRegistersService never compares used_by with the user. Attackers holding the default nexopos.use.registers permission can submit closing, cash-in, or cash-out actions to POST /api/cash-registers/{action}/{register} to force-close sessions or alter balances.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
Produtos afetados
Blair2004 · NexoPOS
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Blair2004 NexoPOS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-111637MEDIUMNexoPOS through 6.2.4 Unauthenticated Transaction Disclosure via /api/fields EndpointEPSS 0.5%