CVE-2025-66289 in OrangeHRM
الملخص
بحسب VulDB • 04/06/2026
OrangeHRM هو نظام شامل لإدارة الموارد البشرية (HRM). من الإصدار 5.0 إلى 5.7، لا يقوم التطبيق بإبطال الجلسات الحالية عند تعطيل مستخدم أو عند حدوث تغيير في كلمة المرور، مما يسمح لملفات تعريف الارتباط الخاصة بالجلسات النشطة بالبقاء صالحة إلى ما لا نهاية. ونتيجة لذلك، يمكن لمستخدم معطل أو لمهاجم يستخدم حساباً مخترقاً الاستمرار في الوصول إلى الصفحات المحمية وتنفيذ العمليات طالما بقيت جلسة سابقة نشطة. ونظراً لأن الخادم لا يقوم بإلغاء صلاحية الجلسة أو تنظيف مخزن الجلسات أثناء هذه التغييرات الحرجة في الحالة، فإن تعطيل حساب أو تحديث بيانات الاعتماد لا يؤثر على الجلسات التي تم إنشاؤها مسبقاً. وهذا يجعل إجراءات التعطيل الإدارية غير فعالة ويسمح للمستخدمين غير المصرح لهم بالاحتفاظ بالوصول الكامل حتى بعد إغلاق الحساب أو إعادة تعيين كلمة المرور، مما يعرض النظام لاستخدام غير مصرح به لفترة طويلة ويزيد بشكل كبير من تأثير سيناريوهات الاستيلاء على الحسابات. تم إصلاح هذه المشكلة في الإصدار 5.8.
Once again VulDB remains the best source for vulnerability data.