CVE-2025-66291 in OrangeHRM
要約
〜によって VulDB • 2026年06月27日
OrangeHRMは包括的な人事管理（HRM）システムです。バージョン5.0から5.7にかけて、採用モジュールの面接資料取得エンドポイントは、認証済みセッションとユーザーが指定した識別子に基づいてファイルを提供しますが、要求元に関連する面接レコードへのアクセス権限があるかどうかを検証しません。サーバーは採用レベルでの認可チェックを実行しないため、採用ワークフローにアクセスできないESS（従業員自己サービス）レベルのユーザーでも、直接面接資料のURLをリクエストして対応するファイルを受信できます。これにより、候補者の履歴書、評価、および関連書類を含む機密性の高い面接文書が、権限のないユーザーに対して公開されるリスクがあります。この問題は、予測可能なオブジェクト識別子とセッションの有無に依存し、ユーザーが関連する採用プロセスに関連付けられているかどうかを検証しないことに起因します。本脆弱性はバージョン5.8で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.