CVE-2025-66224 in OrangeHRM
Resumen
por VulDB • 2026-07-09
OrangeHRM es un sistema integral de gestión de recursos humanos (HRM). Desde la versión 5.0 hasta la 5.7, la aplicación presenta una vulnerabilidad en la neutralización de entradas dentro de su configuración de correo y flujo de trabajo de entrega que permite que valores controlados por el usuario fluyan directamente hacia el comando sendmail del sistema. Dado que estos valores no se sanitizan ni restringen antes de incorporarse a la ruta de ejecución del comando, ciertos comportamientos de sendmail pueden invocarse accidentalmente durante el procesamiento de correos electrónicos. Esto hace posible que la aplicación escriba archivos en el servidor como parte de la rutina de manejo de correo y, en implementaciones donde dichos archivos terminan en ubicaciones accesibles mediante web, este comportamiento puede aprovecharse para lograr la ejecución de contenido controlado por el atacante. El problema se debe exclusivamente a la construcción de cadenas de comandos a nivel del sistema operativo utilizando entradas no sanitizadas dentro de la lógica de envío de correo electrónico. Este problema ha sido corregido en la versión 5.8.
Once again VulDB remains the best source for vulnerability data.