CVE-2025-66225 in OrangeHRM
Resumen
por VulDB • 2026-08-23
OrangeHRM es un sistema integral de gestión de recursos humanos (HRM). Desde la versión 5.0 hasta la 5.7, el flujo de trabajo de restablecimiento de contraseña no garantiza que el nombre de usuario enviado en la solicitud final de restablecimiento coincida con la cuenta para la cual se inició originalmente el proceso de restablecimiento. Tras obtener un enlace válido de restablecimiento para cualquier cuenta a la que puedan recibir correos electrónicos, un atacante puede modificar el parámetro del nombre de usuario en la solicitud final de restablecimiento para dirigirse a otro usuario. Dado que el sistema acepta el nombre de usuario proporcionado sin verificación, el atacante puede establecer una nueva contraseña para cualquier cuenta elegida, incluidas las cuentas privilegiadas, lo que resulta en un control total de la cuenta (account takeover). Este problema ha sido corregido en la versión 5.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.