CVE-2025-66225 in OrangeHRM
요약
\~에 의해 VulDB • 2026. 06. 22.
OrangeHRM은 포괄적인 인적 자원 관리(HRM) 시스템입니다. 버전 5.0부터 5.7까지의 버전에서 비밀번호 재설정 워크플로우는 최종 재설정 요청에 제출된 사용자 이름이 원래 재설정 프로세스가 시작된 계정과 일치하도록 강제하지 않습니다. 이메일을 수신할 수 있는 임의 계정에 대한 유효한 재설정 링크를 획득한 공격자는 최종 재설정 요청에서 사용자 이름 매개변수를 변경하여 다른 사용자를 표적으로 삼을 수 있습니다. 시스템이 검증 없이 제공된 사용자 이름을 수락하므로, 공격자는 권한이 있는 계정을 포함한 선택한 모든 계정의 새 비밀번호를 설정하여 계정 전체를 탈취할 수 있습니다. 이 문제는 버전 5.8에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.