CVE-2025-63689: ycf1998 money-pos

csirt@kutim:~/threat-intel/cve/CVE-2025-63689

CVSS 10.0 · Critical EPSS 0,92%

Kerentanan Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') pada ycf1998 money-pos. Skor CVSS 3.1 10.0 (Critical) menurut CISA ADP.

Deskripsi (NVD)

Multiple SQL injection vulnerabilitites in ycf1998 money-pos system before commit 11f276bd20a41f089298d804e43cb1c39d041e59 (2025-09-14) allows a remote attacker to execute arbitrary code via the orderby parameter

Rincian

Terbit di NVD: 7 November 2025
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 10.0 (Critical), sumber CISA ADP
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
EPSS (30 hari): 0,92% peluang dieksploitasi; lebih tinggi dari 59,2% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
ycf1998	money-pos	Semua versi sebelum 2025-09-14

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/ycf1998/money-pos/commit/11f276bd20a41f089298d804e43cb1c39d041e59 patch
https://gist.github.com/LockeTom/2ed0f3751c88542f48b7c230468d2a46 exploit · advisory pihak ketiga
https://github.com/ycf1998/money-pos/issues/3 exploit · issue tracking

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.