CVE-2025-66290 in OrangeHRM
Resumen
por VulDB • 2026-06-23
OrangeHRM es un sistema integral de gestión de recursos humanos (HRM). Desde la versión 5.0 hasta la 5.7, el punto final para recuperar archivos adjuntos del proceso de reclutamiento no aplica las comprobaciones de autorización requeridas antes de servir los archivos de los candidatos. Incluso los usuarios restringidos al acceso a nivel ESS, que no tienen permiso para ver el módulo de Reclutamiento, pueden acceder directamente a las URL de los archivos adjuntos de los candidatos. Cuando se realiza una solicitud autenticada al punto final del archivo adjunto, el sistema valida la sesión pero no confirma si el usuario solicitante tiene los permisos necesarios para el reclutamiento. Como resultado, cualquier usuario autenticado puede descargar CVs y otros documentos subidos para candidatos arbitrarios mediante solicitudes directas al punto final de archivos adjuntos, lo que provoca una exposición no autorizada de datos sensibles de los solicitantes. Este problema ha sido corregido en la versión 5.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.