- Son 7 gün
- CWE-639
CVE-2026-117606
NexoPOS kasa oturumlarında yetkilendirme eksikliği (diğer kasiyerlerin oturumlarına müdahale)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapmış bir personelin başkalarının kasa hesaplarına müdahale etmesine olanak tanır. Bu durum finansal kayıp, muhasebe hataları ve kasa uyuşmazlıklarına yol açabilir. Kullanan işletmeler kısa sürede güncelleme yapmalıdır.
ÖzetTürkçe
NexoPOS 6.3.0 ve öncesi sürümlerde, CashRegistersService kasa oturumunun kullanıcıya ait olup olmadığını kontrol etmediği için kimliği doğrulanmış bir kasiyer başka kasiyerlerin kasa oturumlarını değiştirebilmektedir. Varsayılan nexopos.use.registers yetkisine sahip kullanıcılar bu açığı kullanabilir. Etkilenen ürün NexoPOS'tur.
Saldırgan ne yapabilir?
Saldırgan, başka bir kasiyerin oturumunu zorla kapatabilir veya nakit girişi/çıkışı işlemleriyle kasa bakiyelerini değiştirebilir.
Kaynaktaki açıklama (İngilizce)
NexoPOS through 6.3.0 contains a missing authorization vulnerability that allows authenticated cashiers to manipulate other cashiers' register sessions because CashRegistersService never compares used_by with the user. Attackers holding the default nexopos.use.registers permission can submit closing, cash-in, or cash-out actions to POST /api/cash-registers/{action}/{register} to force-close sessions or alter balances.
Ne yapmalı?
- Üretici tarafından belirtilen düzeltilmiş sürüme (6.3.0'dan sonraki sürüm) yükseltme yapın. Genel öneri
- Yükseltme yapamadan önce, kasiyer hesaplarına kasa yetkisinin (nexopos.use.registers) yalnızca gerçekten ihtiyaç duyan personele verilip verilmediğini gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
- Kasa oturumlarında beklenmeyen kapanış, nakit giriş veya çıkış kayıtlarını inceleyerek daha önce istismar edilip edilmediğini kontrol edin. Genel öneri
Ek önlemler
- Kasiyer hesaplarını kişiye özel tutun ve paylaşılan oturum bilgilerini kullanmayın. Genel öneri
- Kasa bakiyelerini ve oturum kapanışlarını düzenli olarak mutabakat yaparak anormallikleri erken fark edin. Genel öneri
- Kasa işlemleri için denetim günlüğü (audit log) tutulup tutulmadığını doğrulayın ve bu kayıtları periyodik olarak inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Blair2004 NexoPOS | ≤ 6.3.0 | – |
Kaynaklar7 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.