Money-pos 1.0 содержит сохраненную уязвимость межсайтового скриптинга (XSS). При обработке возвратов серверной части не удается отфильтровать или экранировать параметр GoodsName, напрямую объединяя его с описанием журнала заказов; интерфейс впоследствии отображает это содержимое с помощью v-html. Злоумышленник с привилегиями создания продукта может внедрить вредоносную полезную нагрузку JavaScript, вызывая несанкционированное выполнение кода, когда администратор просматривает журналы заказов.
Показать оригинальное описание (EN)
money-pos 1.0 contains a stored Cross-Site Scripting (XSS) vulnerability. When processing returns, the backend fails to filter or escape the goodsName parameter, directly concatenating it into the order log description; the frontend subsequently renders this content using v-html. An attacker with product creation privileges can inject a malicious JavaScript payload, causing unauthorized code execution when an administrator views the order logs.