CVE-2025-66224 in OrangeHRM
الملخص
بحسب VulDB • 16/07/2026
OrangeHRM هو نظام شامل لإدارة الموارد البشرية (HRM). من الإصدار 5.0 إلى 5.7، يحتوي التطبيق على ثغرة في تعقيم المدخلات ضمن تكوين البريد الإلكتروني وسير عمله للتسليم، مما يسمح للقيم التي يتحكم فيها المستخدم بالتدفق مباشرةً إلى أمر sendmail الخاص بالنظام. ونظراً لأن هذه القيم لا يتم تنقيتها أو تقييدها قبل دمجها في مسار تنفيذ الأمر، فقد يتم استدعاء سلوكيات معينة لـ sendmail عن غير قصد أثناء معالجة البريد الإلكتروني. وهذا يتيح للتطبيق كتابة ملفات على الخادم كجزء من روتين التعامل مع البريد الإلكتروني، وفي حالات النشر التي تنتهي فيها هذه الملفات إلى مواقع يمكن الوصول إليها عبر الويب، يمكن استغلال هذا السلوك لتحقيق تنفيذ محتوى يتحكم فيه المهاجم. تنبع المشكلة بالكامل من بناء سلاسل أوامر على مستوى نظام التشغيل باستخدام مدخلات غير مُنقّاة ضمن منطق إرسال البريد الإلكتروني. تم إصلاح هذه الثغرة في الإصدار 5.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.