CVE-2025-66224 in OrangeHRM
요약
\~에 의해 VulDB • 2026. 07. 18.
OrangeHRM은 포괄적인 인적 자원 관리(HRM) 시스템입니다. 버전 5.0부터 5.7까지의 애플리케이션에는 메일 구성 및 전달 워크플로우에서 입력 중화(input-neutralization) 결함이 존재하여, 사용자가 제어할 수 있는 값이 시스템의 sendmail 명령어로 직접 유입될 수 있습니다. 이러한 값들이 명령 실행 경로에 통합되기 전에 검사(sanitizing)되거나 제한되지 않기 때문에, 이메일 처리 과정에서 특정 sendmail 동작이 의도치 않게 호출될 수 있습니다. 이로 인해 애플리케이션은 메일 처리 루틴의 일환으로 서버에 파일을 작성할 수 있으며, 해당 파일이 웹 접근 가능한 위치에 배치되는 환경에서는 공격자가 제어하는 콘텐츠의 실행을 달성하기 위해 이 동작이 악용될 수 있습니다. 이 문제는 메일 발송 로직 내에서 검사되지 않은 입력값을 사용하여 OS 수준의 명령어 문자열을 구성함으로써 발생합니다. 본 이슈는 버전 5.8에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.