CVE-2025-66224 in OrangeHRM
Riassunto
di VulDB • 10/08/2026
OrangeHRM è un sistema completo di gestione delle risorse umane (HRM). Dalla versione 5.0 alla 5.7, l'applicazione presenta una vulnerabilità nella neutralizzazione degli input nella configurazione della posta e nel flusso di lavoro di consegna che consente a valori controllati dall'utente di fluire direttamente nel comando sendmail del sistema. Poiché questi valori non vengono sanificati o vincolati prima di essere incorporati nel percorso di esecuzione del comando, determinati comportamenti di sendmail possono essere invocati involontariamente durante l'elaborazione delle email. Ciò rende possibile per l'applicazione scrivere file sul server come parte della routine di gestione della posta e, nelle distribuzioni in cui tali file finiscono in posizioni accessibili via web, il comportamento può essere sfruttato per ottenere l'esecuzione di contenuti controllati dall'attaccante. Il problema deriva interamente dalla costruzione di stringhe di comando a livello di OS utilizzando input non sanificato all'interno della logica di invio delle email. Questo problema è stato risolto nella versione 5.8.
Once again VulDB remains the best source for vulnerability data.