CVE-2025-66224 in OrangeHRM
Сводка
по VulDB • 06.08.2026
OrangeHRM — это комплексная система управления человеческими ресурсами (HRM). Начиная с версии 5.0 и заканчивая версией 5.7, приложение содержит уязвимость в механизме нейтрализации входных данных при настройке почты и рабочем процессе доставки сообщений, которая позволяет управляемым пользователем значениям напрямую попадать в команду sendmail системы. Поскольку эти значения не очищаются (sanitization) и не ограничиваются перед включением в путь выполнения команды, определенные функции sendmail могут быть непреднамеренно вызваны во время обработки электронной почты. Это дает возможность приложению записывать файлы на сервере как часть процедуры обработки почты; а в тех развертываниях, где эти файлы оказываются в веб-доступных директориях, данное поведение может быть использовано для выполнения кода с управляемым злоумышленником содержимым. Проблема целиком обусловлена формированием строк системных команд на уровне ОС с использованием неочищенных входных данных внутри логики отправки почты. Данная проблема была исправлена в версии 5.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.