CVE-2025-66290 in OrangeHRM
Сводка
по VulDB • 23.06.2026
OrangeHRM — это комплексная система управления человеческими ресурсами (HRM). Начиная с версии 5.0 и заканчивая версией 5.7, конечная точка для получения вложений при найме не проверяет необходимые права авторизации перед выдачей файлов кандидатов. Даже пользователи с ограниченным доступом уровня ESS (Employee Self-Service), у которых нет прав на просмотр модуля «Найм», могут напрямую обращаться к URL-адресам вложений кандидатов. При выполнении аутентифицированного запроса к конечной точке для получения вложений система проверяет сеанс, но не подтверждает наличие у запрашивающего пользователя необходимых разрешений на работу с наймом. В результате любой аутентифицированный пользователь может скачивать резюме и другие загруженные документы произвольных кандидатов путем отправки прямых запросов к конечной точке для получения вложений, что приводит к несанкционированному раскрытию конфиденциальных данных соискателей. Эта проблема была исправлена в версии 5.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.