CVE-2025-66224
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
OrangeHRM to kompleksowy system zarządzania zasobami ludzkimi (HRM). W wersjach od 5.0 do 5.7 aplikacja zawiera błąd neutralizacji danych wejściowych w konfiguracji poczty i procesie dostarczania wiadomości, który pozwala wartościom kontrolowanym przez użytkownika trafiać bezpośrednio do polecenia sendmail. Ponieważ wartości te nie są oczyszczane ani ograniczane przed włączeniem do ścieżki wykonania polecenia, podczas przetwarzania wiadomości mogą zostać nieumyślnie wywołane określone zachowania sendmail. Umożliwia to aplikacji zapisywanie plików na serwerze w ramach procedury obsługi poczty, a w środowiskach, w których pliki te trafiają do lokalizacji dostępnych przez sieć, zachowanie to można wykorzystać do wykonania treści kontrolowanych przez atakującego. Problem wynika w całości z konstruowania ciągów poleceń na poziomie systemu operacyjnego przy użyciu nieoczyszczonych danych wejściowych w logice wysyłania poczty. Błąd został naprawiony w wersji 5.8.
Ocena ryzyka
Atakujący może doprowadzić do zapisu plików na serwerze, a jeśli staną się one dostępne przez sieć, możliwe jest wykonanie złośliwej treści i przejęcie aplikacji.
Rekomendacja
Zaktualizuj OrangeHRM do wersji 5.8 lub nowszej oraz upewnij się, że katalogi zapisywalne przez aplikację nie są dostępne przez sieć.
Inne podatności w OrangeHRM
Zobacz wszystkie- CVE-2026-39349Niskie
OrangeHRM Open Source od wersji 5.0 do 5.8 szyfruje poufne pola za pomocą AES w trybie ECB, co zachowuje wzorce tekstu jawnego w szyfrogramie i umożliwia ujawnienie wzorców przechowywanych danych. Luka naprawiona w wersji 5.8.1.
- CVE-2026-39348Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pomija autoryzację w handlerach pobierania załączników do specyfikacji stanowisk i wakatów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać załączniki przez bezpośrednie odwołanie do identyfikatorów.
- CVE-2026-39347Niskie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 akceptuje zmiany w samoocenach dla użytkowników administratora po oznaczeniu tych zgłoszeń jako zakończone, co narusza integralność sfinalizowanych rekordów ocen.
- CVE-2026-39346Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do wyłączonych modułów poprzez użycie zakodowanych w URL ścieżek żądań. Użytkownicy mogą uzyskać dostęp do funkcjonalności modułów wyłączonych przez administratora. Luka jest naprawiona w wersji 5.8.1.
- CVE-2026-39345Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 zawiera podatność polegającą na braku ograniczenia rozdzielczości plików szablonów e-mail do zamierzonego katalogu wtyczek. Uwierzytelniony atakujący, który może wpływać na ścieżkę szablonu, może odczytać dowolne lokalne pliki. Problem został naprawiony w wersji 5.8.1.
- CVE-2025-66291Średnie
OrangeHRM w wersjach od 5.0 do 5.7 posiada endpoint pobierania załączników rozmów kwalifikacyjnych w module Rekrutacji, który serwuje pliki wyłącznie na podstawie sesji i identyfikatorów podanych przez użytkownika, bez weryfikacji uprawnień do rekordu rozmowy. Użytkownik na poziomie ESS bez dostępu do rekrutacji może pobrać poufne dokumenty, takie jak CV kandydatów i oceny.
- CVE-2025-66290Średnie
OrangeHRM to kompleksowy system zarządzania zasobami ludzkimi (HRM). Od wersji 5.0 do 5.7 endpoint pobierania załączników rekrutacyjnych nie wymusza wymaganych kontroli autoryzacji przed udostępnieniem plików kandydatów. Nawet użytkownicy z dostępem na poziomie ESS, którzy nie mają uprawnień do przeglądania modułu Rekrutacji, mogą bezpośrednio uzyskać dostęp do adresów URL załączników kandydatów. W rezultacie każdy uwierzytelniony użytkownik może pobrać CV i inne przesłane dokumenty dla dowolnych kandydatów, co prowadzi do nieautoryzowanego ujawnienia wrażliwych danych aplikantów. Problem został naprawiony w wersji 5.8.
- CVE-2025-66289Wysokie
OrangeHRM w wersjach 5.0–5.7 nie unieważnia istniejących sesji przy wyłączeniu użytkownika ani zmianie hasła, przez co aktywne ciasteczka sesji pozostają ważne bezterminowo. Wyłączone konto lub przejęte konto może nadal uzyskiwać dostęp do chronionych stron. Problem naprawiono w wersji 5.8.
- CVE-2025-66225Wysokie
W OrangeHRM w wersjach 5.0–5.7 proces resetowania hasła nie weryfikuje, czy nazwa użytkownika w końcowym żądaniu odpowiada kontu, dla którego rozpoczęto reset. Atakujący może zmienić parametr username i ustawić nowe hasło dla dowolnego konta, w tym uprzywilejowanego.
Oryginalny opis (angielski, źródło NVD)
OrangeHRM is a comprehensive human resource management (HRM) system. From version 5.0 to 5.7, the application contains an input-neutralization flaw in its mail configuration and delivery workflow that allows user-controlled values to flow directly into the system’s sendmail command. Because these values are not sanitized or constrained before being incorporated into the command execution path, certain sendmail behaviors can be unintentionally invoked during email processing. This makes it possible for the application to write files on the server as part of the mail-handling routine, and in deployments where those files end up in web-accessible locations, the behavior can be leveraged to achieve execution of attacker-controlled content. The issue stems entirely from constructing OS-level command strings using unsanitized input within the mail-sending logic. This issue has been patched in version 5.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS