CVE-2025-66289 in OrangeHRM
要約
〜によって VulDB • 2026年06月04日
OrangeHRMは包括的な人事管理（HRM）システムです。バージョン5.0から5.7にかけて、ユーザーが無効化された場合やパスワードが変更された場合でも、既存のセッションが無効化されないため、アクティブなセッションクッキーが無期限に有効なままになります。その結果、無効化されたユーザー、または乗っ取られたアカウントを使用する攻撃者は、以前のセッションがアクティブである限り、保護されたページへのアクセスを継続し、操作を実行することができます。サーバーはこれらの重要な状態変更中にセッションの取り消しやセッションストアのクリーンアップを行わないため、アカウントの無効化や資格情報の更新は、すでに確立されたセッションには影響を与えません。これにより、管理者による無効化操作が無効化され、アカウントが閉鎖された後やパスワードがリセットされた後でも、不正なユーザーが完全なアクセス権を保持し続けることが可能になり、システムは長期にわたる不正使用にさらされ、アカウント乗っ取りシナリオの影響が大幅に増大します。この問題はバージョン5.8で修正されています。
Once again VulDB remains the best source for vulnerability data.