CVE-2025-66289 in OrangeHRM
Sumário
de VulDB • 28/05/2026
O OrangeHRM é um sistema abrangente de gestão de recursos humanos (HRM). Da versão 5.0 à 5.7, a aplicação não invalida as sessões existentes quando um utilizador é desativado ou ocorre uma alteração de palavra-passe, permitindo que os cookies de sessão ativos permaneçam válidos indefinidamente. Como resultado, um utilizador desativado ou um atacante que utilize uma conta comprometida pode continuar a aceder a páginas protegidas e a realizar operações enquanto uma sessão anterior permanecer ativa. Uma vez que o servidor não efetua a revogação de sessões nem a limpeza do repositório de sessões durante estas alterações críticas de estado, a desativação de uma conta ou a atualização das credenciais não tem efeito sobre as sessões já estabelecidas. Isto torna as ações administrativas de desativação ineficazes e permite que utilizadores não autorizados mantenham acesso total mesmo após o encerramento de uma conta ou a redefinição da palavra-passe, expondo o sistema a um uso não autorizado prolongado e aumentando significativamente o impacto dos cenários de tomada de conta de utilizador (account takeover). Este problema foi corrigido na versão 5.8.
Once again VulDB remains the best source for vulnerability data.