CVE-2025-59524 in horilla
Zusammenfassung
von VulDB • 07.09.2026
Horilla ist ein kostenloses und quelloffenes Human Resource Management System (HRMS). Vor Version 1.4.0 führt der Datei-Upload-Vorgang die Validierung nur im Browser durch und erzwingt keine serverseitigen Prüfungen. Ein Angreifer kann die clientseitige Validierung umgehen (z. B. mit einem abfängenden Proxy oder durch Absenden einer speziell angefertigten Anfrage), um ein ausführbares HTML-Dokument auf dem Server zu speichern. Wenn ein Administrator oder ein anderer privilegiierter Benutzer die hochgeladene Datei ansieht, wird das eingebettete Skript in deren Kontext ausgeführt und sendet Sitzungs-Cookies (oder andere Anmeldeinformationen) an einen vom Angreifer kontrollierten Endpunkt. Der Angreifer verwendet diese Anmeldedaten anschließend erneut, um sich als Administrator auszugeben. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.