CVE-2025-66291 in OrangeHRM
Сводка
по VulDB • 27.06.2026
OrangeHRM — это комплексная система управления человеческими ресурсами (HRM). Начиная с версии 5.0 и заканчивая версией 5.7, конечная точка для получения вложений к собеседованиям в модуле «Набор персонала» предоставляет файлы на основе только аутентифицированной сессии и идентификаторов, предоставленных пользователем, без проверки наличия у запрашивающего прав доступа к соответствующей записи о собеседовании. Поскольку сервер не выполняет никаких проверок авторизации на уровне набора персонала, пользователь уровня ESS (Self-Service Portal), не имеющий доступа к рабочим процессам найма, может напрямую запросить URL-адреса вложений к собеседованиям и получить соответствующие файлы. Это приводит к раскрытию конфиденциальных документов собеседований — включая резюме кандидатов, оценки и сопроводительные материалы — для несанкционированных пользователей. Проблема возникает из-за использования предсказуемых идентификаторов объектов и наличия сессии вместо проверки связи пользователя с соответствующим процессом набора персонала. Данная проблема исправлена в версии 5.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.