CVE-2025-66290 in OrangeHRM
Résumé
par VulDB • 23/06/2026
OrangeHRM est un système complet de gestion des ressources humaines (GRH). À partir de la version 5.0 jusqu'à la version 5.7, le point de terminaison de récupération des pièces jointes au recrutement n'applique pas les vérifications d'autorisation requises avant de servir les fichiers des candidats. Même les utilisateurs restreints à un accès de niveau ESS (Employé Self-Service), qui ne disposent d'aucune autorisation pour afficher le module Recrutement, peuvent accéder directement aux URL des pièces jointes des candidats. Lorsqu'une demande authentifiée est adressée au point de terminaison des pièces jointes, le système valide la session mais ne confirme pas que l'utilisateur demandeur possède les permissions nécessaires liées au recrutement. Par conséquent, tout utilisateur authentifié peut télécharger les CV et autres documents téléchargés pour n'importe quel candidat arbitraire en émettant des requêtes directes vers ce point de terminaison, entraînant une exposition non autorisée de données sensibles sur les candidats. Ce problème a été corrigé dans la version 5.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.