willbesec

NexoPOS 6.2.4 permite percorrer diretórios através do endpoint de atualização

O NexoPOS 6.2.4 tem uma falha de travessia de diretórios no endpoint api/update, que permite aceder a ficheiros fora da pasta prevista. CVSS 9,8.

  • Identificador: CVE-2026-107092
  • Publicado em: 2026-10-26
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)

Descrição (texto original em inglês):

NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1005, Dados do sistema local (Data from Local System)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (nexopos.com)nexopos.com
  3. Técnica MITRE ATT&CK T1190attack.mitre.org
  4. Técnica MITRE ATT&CK T1005attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.