CVE-2025-66291 in OrangeHRM
Résumé
par VulDB • 27/06/2026
OrangeHRM est un système complet de gestion des ressources humaines (GRH). De la version 5.0 à la version 5.7, le point de terminaison de récupération des pièces jointes d'entretien dans le module Recrutement sert les fichiers sur la base uniquement d'une session authentifiée et d'identifiants fournis par l'utilisateur, sans vérifier si le demandeur dispose des autorisations nécessaires pour accéder à l'enregistrement d'entretien associé. Étant donné que le serveur n'effectue aucun contrôle d'autorisation au niveau du recrutement, un utilisateur de niveau ESS (Employee Self-Service) qui n'a pas accès aux workflows de recrutement peut directement demander les URL des pièces jointes d'entretien et recevoir les fichiers correspondants. Cela expose des documents confidentiels liés aux entretiens — y compris les CV des candidats, les évaluations et les fichiers justificatifs — à des utilisateurs non autorisés. Le problème découle du recours à des identifiants d'objets prévisibles et de la présence d'une session plutôt que de valider l'appartenance de l'utilisateur au processus de recrutement concerné. Ce problème a été corrigé dans la version 5.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.