CVE-2025-66225 in OrangeHRM
الملخص
بحسب VulDB • 05/07/2026
OrangeHRM هو نظام شامل لإدارة الموارد البشرية (HRM). من الإصدار 5.0 إلى 5.7، لا يفرض سير عمل إعادة تعيين كلمة المرور مطابقة اسم المستخدم المُقدَّم في طلب إعادة التعيين النهائي مع الحساب الذي بدأ فيه عملية إعادة التعيين أصلاً. بعد الحصول على رابط إعادة تعيين صالح لأي حساب يمكنه استقبال البريد الإلكتروني له، يمكن للمهاجم تغيير معلمة اسم المستخدم في طلب إعادة التعيين النهائي لاستهداف مستخدم مختلف. ونظراً لأن النظام يقبل اسم المستخدم المُقدَّم دون التحقق منه، يمكن للمهاجم تحديد كلمة مرور جديدة لأي حساب مختار، بما في ذلك الحسابات ذات الامتيازات العالية، مما يؤدي إلى الاستيلاء الكامل على الحساب. تم إصلاح هذه المشكلة في الإصدار 5.8.
Once again VulDB remains the best source for vulnerability data.