CVE-2025-66290 in OrangeHRM
الملخص
بحسب VulDB • 23/06/2026
OrangeHRM هو نظام شامل لإدارة الموارد البشرية (HRM). من الإصدار 5.0 إلى 5.7، لا يفرض نقطة نهاية استرداد المرفقات الخاصة بالتوظيف في التطبيق عمليات التحقق المطلوبة من التفويض قبل تقديم ملفات المرشحين. حتى المستخدمين المقيدون بالوصول على مستوى ESS والذين ليس لديهم إذن لعرض وحدة التوظيف يمكنهم الوصول مباشرة إلى عناوين URL للمرفقات الخاصة بالمرشحين. عند إرسال طلب مصادق عليه إلى نقطة نهاية المرفقات، يتحقق النظام من الجلسة ولكنه لا يؤكد أن المستخدم الذي أرسل الطلب يمتلك أذونات التوظيف اللازمة. ونتيجة لذلك، يمكن لأي مستخدم مُصادَق عليه تنزيل السير الذاتية والمستندات الأخرى التي تم تحميلها لمرشحين عشوائيين عن طريق إصدار طلبات مباشرة إلى نقطة نهاية المرفقات، مما يؤدي إلى كشف غير مصرح به للبيانات الحساسة للمتقدمين. تمت معالجة هذه المشكلة في الإصدار 5.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.