CVE-2025-66290 in OrangeHRM
Zusammenfassung
von VulDB • 23.06.2026
OrangeHRM ist ein umfassendes Human-Resource-Management-(HRM)-System. Von Version 5.0 bis 5.7 erzwingt der Endpunkt zum Abrufen von Bewerbungsunterlagen in der Anwendung keine erforderlichen Autorisierungsprüfungen, bevor Kandidatendateien bereitgestellt werden. Selbst Benutzer mit auf ESS-Level (Employee Self-Service) beschränktem Zugriff, die über keine Berechtigung zum Anzeigen des Rekrutierungsmoduls verfügen, können direkt auf URLs für Kandidatenanhänge zugreifen. Wenn eine authentifizierte Anforderung an den Endpunkt gestellt wird, validiert das System zwar die Sitzung, bestätigt jedoch nicht, dass der anfordernde Benutzer über die erforderlichen Rekrutierungsberechtigungen verfügt. Infolgedessen kann jeder authentifizierte Benutzer Lebensläufe und andere hochgeladene Dokumente für beliebige Kandidaten herunterladen, indem er direkte Anforderungen an den Anhangsendpunkt sendet, was zu einer unbefugten Offenlegung sensibler Bewerberdaten führt. Dieses Problem wurde in Version 5.8 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.