NexoPOS: Unauthentifizierte Directory Traversal im api/update-Endpunkt
Zusammenfassung
NexoPOS v6.2.4 und früher enthalten eine Directory Traversal Schwachstelle im Endpunkt POST /api/update, der zum Ausführen von Datenbank-Migrationsdateien dient. Der Endpunkt erfordert keine Authentifizierung, und der übergebene Dateiname wird ohne Validierung in einen Pfad eingesetzt und an PHPs require() übergeben. Laut dem Forscher kann ein nicht authentifizierter Angreifer beliebige PHP-Dateien einbinden und so Remote Code Execution mit den Rechten des Webservers erreichen; der NVD-Text beschreibt lediglich das Traversal.
Betroffen
- NexoPOS v6.2.4 (NVD)
- NexoPOS 6.2.4 und früher (Forscher und Herstellerhinweis, nicht direkt dieser CVE-ID zugeordnet)
Behoben in
- NexoPOS 6.3.0
- NexoPOS 6.2.5 (reiner Sicherheits-Backport, laut Hersteller Übergangslösung)
- Fix wird als PR #2653 referenziert; Merge-Status nicht bestätigt.
Umgehung
- Keine vom Hersteller dokumentierte Workaround gefunden.
- Netzwerkzugriff auf die Update-Pfade an einem Reverse Proxy oder einer Firewall einschränken (Empfehlung, nicht vom Hersteller).
- Webserver-Logs auf POST-Anfragen an /api/update überwachen.
Ausnutzung
- Gemäss dem GitHub-Repository des Forschers existiert ein öffentlicher Proof of Concept.
- Der CISA-ADP SSVC-Eintrag stuft die Ausnutzung als poc und die Automatisierbarkeit als yes ein.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA-KEV-Status nicht bestätigt.
Unsere Empfehlung
- Alle NexoPOS-Installationen und deren Versionen inklusive PHP-Version inventarisieren.
- Aus dem Internet erreichbare Installationen auf NexoPOS 6.3.0 aktualisieren, alternativ als Übergangslösung auf 6.2.5.
- Webserver-Logs auf POST-Anfragen an /api/update prüfen; Tests nicht auf Produktivsystemen durchführen.
- PHP auf eine unterstützte, gepatchte Version aktualisieren.
- Beim Hersteller NexoPOS bestätigen lassen, dass die Herstellerwarnung für CVE-2026-107092 gilt.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
raivenLockdown/CVE-2026-107092
Quellen der Recherche
- NVD / CVE record (OpenCVE) app.opencve.io
- Researcher repository (GitHub) github.com
- NexoPOS security advisory my.nexopos.com
- NexoPOS pull request #2653 github.com
- VulDB entry 426423 vuldb.com
- GCVE CVE search (CISA-ADP SSVC) db.gcve.eu
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:36.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.