CVE-2025-66289 in OrangeHRM
Сводка
по VulDB • 28.05.2026
OrangeHRM — это комплексная система управления человеческими ресурсами (HRM). Начиная с версии 5.0 и заканчивая версией 5.7, приложение не инвалидирует существующие сессии при отключении пользователя или изменении пароля, что позволяет активным сессионным кукам оставаться действительными неограниченно долго. В результате отключенный пользователь или злоумышленник, использующий скомпрометированную учетную запись, могут продолжать доступ к защищенным страницам и выполнять операции до тех пор, пока предыдущая сессия остается активной. Поскольку сервер не выполняет отзыв сессий или очистку хранилища сессий во время этих критических изменений состояния, отключение учетной записи или обновление учетных данных не оказывают влияния на уже установленные сессии. Это делает действия административного отключения неэффективными и позволяет несанкционированным пользователям сохранять полный доступ даже после закрытия учетной записи или сброса пароля, подвергая систему длительному несанкционированному использованию и значительно увеличивая последствия сценариев захвата учетных записей. Эта проблема была исправлена в версии 5.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.