CVE-2026-107092

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.9% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-26 · updated 2026-10-29
Weakness: CWE-22

Description

NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.

Summary

NexoPOS v6.2.4 is vulnerable to directory traversal through the api/update endpoint, allowing an attacker to access files outside the intended directory. With a CVSS score of 9.8 (critical), this flaw could expose sensitive data or enable further compromise of the point-of-sale system. The vulnerability is not listed in CISA KEV, but CISA SSVC assessment indicates a proof-of-concept exploit exists. Users of NexoPOS v6.2.4 should upgrade to a fixed release once available and restrict access to the api/update endpoint in the meantime.

يعاني NexoPOS v6.2.4 من ثغرة اجتياز المسارات (Directory Traversal) عبر نقطة النهاية api/update، ما يسمح للمهاجم بالوصول إلى ملفات خارج الدليل المقصود. وبدرجة خطورة 9.8 (حرجة) وفق CVSS، قد تؤدي الثغرة إلى كشف بيانات حساسة أو تسهيل اختراق نظام نقاط البيع. الثغرة غير مدرجة في CISA KEV، لكن تقييم CISA SSVC يشير إلى وجود استغلال إثبات مفهوم (PoC). على مستخدمي NexoPOS v6.2.4 الترقية إلى إصدار مُصلح فور توفره، وتقييد الوصول إلى نقطة النهاية api/update كإجراء مؤقت.

References

Get alerted when CVE-2026-107092 or the next vulnerability affects your stack