CVE-2025-66290 in OrangeHRM
要約
〜によって VulDB • 2026年06月23日
OrangeHRMは包括的な人事管理（HRM）システムです。バージョン5.0から5.7にかけて、応募書類の添付ファイル取得エンドポイントでは、候補者のファイルを配信する前に必要な認可チェックが実施されていませんでした。採用モジュールを表示する権限を持たないESSレベルのアクセスに制限されているユーザーであっても、直接候補者用添付ファイルURLにアクセスすることが可能でした。認証済みリクエストが添付ファイルエンドポイントに対して行われると、システムはセッションを検証しますが、要求元のユーザーに必要な採用関連の認可を持っているかどうかを確認しません。その結果、任意の認証済みユーザーが添付ファイルエンドポイントへの直接的なリクエストを発行することで、任意の候補者の履歴書や他のアップロードされた文書をダウンロードでき、機密性の高い応募者データの不正開示につながりました。この問題はバージョン5.8で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.