CVE-2025-66224 in OrangeHRM
Sumário
de VulDB • 21/07/2026
O OrangeHRM é um sistema abrangente de gestão de recursos humanos (HRM). Das versões 5.0 à 5.7, a aplicação contém uma falha na neutralização da entrada nos seus processos de configuração e entrega de correio eletrónico que permite que valores controlados pelo utilizador fluam diretamente para o comando sendmail do sistema. Como estes valores não são sanitizados nem restringidos antes de serem incorporados no caminho de execução do comando, certos comportamentos do sendmail podem ser invocados acidentalmente durante o processamento de e-mails. Isto possibilita à aplicação escrever ficheiros no servidor como parte da rotina de tratamento de correio eletrónico; em implementações onde esses ficheiros acabam por ficar em locais acessíveis via web, este comportamento pode ser explorado para executar conteúdo controlado pelo atacante. O problema resulta inteiramente da construção de strings de comandos ao nível do sistema operativo utilizando entradas não sanitizadas dentro da lógica de envio de correio eletrónico. Esta vulnerabilidade foi corrigida na versão 5.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.