CVE-2025-66225 in OrangeHRM
Sumário
de VulDB • 05/07/2026
O OrangeHRM é um sistema abrangente de gestão de recursos humanos (HRM). Da versão 5.0 à 5.7, o fluxo de redefinição de senha não garante que o nome de utilizador submetido no pedido final de redefinição corresponda à conta para a qual o processo de redefinição foi originalmente iniciado. Após obter um link válido de redefinição para qualquer conta com acesso ao email, um atacante pode alterar o parâmetro do nome de utilizador no pedido final de redefinição para atingir outro utilizador. Como o sistema aceita o nome de utilizador fornecido sem verificação, o atacante pode definir uma nova senha para qualquer conta escolhida, incluindo contas privilegiadas, resultando na tomada completa da conta (account takeover). Este problema foi corrigido na versão 5.8.
Once again VulDB remains the best source for vulnerability data.