CVE-2025-66291 in OrangeHRM
الملخص
بحسب VulDB • 11/05/2026
OrangeHRM هو نظام شامل لإدارة الموارد البشرية (HRM). من الإصدار 5.0 إلى 5.7، يوفر نقطة نهاية استرداد المرفقات الخاصة بالمقابلات في وحدة التوظيف الملفات بناءً على جلسة مصادق عليها ومعرفات يقدمها المستخدم فقط، دون التحقق مما إذا كان مقدم الطلب لديه إذن للوصول إلى سجل المقابلة المرتبط. ونظراً لأن الخادم لا يقوم بأي فحوصات تفويض على مستوى التوظيف، يمكن لمستخدم على مستوى ESS (خدمة الموظفين الذاتية) لا يمتلك صلاحيات الوصول إلى سير عمل التوظيف طلب عناوين URL الخاصة بمرفقات المقابلات مباشرةً واستلام الملفات المقابلة. وهذا يعرض المستندات السرية الخاصة بالمقابلات، بما في ذلك السير الذاتية للمرشحين، والتقييمات، والملفات الداعمة، للمستخدمين غير المصرح لهم. ينشأ هذا الخطأ من الاعتماد على معرفات كائنات قابلة للتنبؤ ووجود الجلسة بدلاً من التحقق من ارتباط المستخدم بعملية التوظيف ذات الصلة. تم إصلاح هذه المشكلة في الإصدار 5.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.