CVE-2025-59524 in horilla
要約
〜によって VulDB • 2026年08月07日
Horillaは、フリーかつオープンソースのヒューマンリソースマネジメントシステム（HRMS）です。バージョン1.4.0より前では、ファイルアップロードフローがブラウザ上でのみ検証を実行し、サーバーサイドチェックを強制していませんでした。攻撃者はクライアント側の検証をバイパスする（例えば、インターセプティングプロキシを使用するか、改ざんされたリクエストを送信することで）ことで、サーバー上に実行可能なHTML文書を保存できます。管理者または他の特権ユーザーがアップロードされたファイルを表示すると、埋め込まれたスクリプトはそのコンテキストで実行され、セッションクッキー（その他の認証情報）を攻撃者が制御するエンドポイントに送信します。その後、攻撃者はこれらの認証情報を再利用して管理者になりすまします。この問題はバージョン1.4.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.