CVE-2025-66291 in OrangeHRM
Tóm tắt
Bởi VulDB • 11/05/2026
OrangeHRM là một hệ thống quản trị nhân sự (HRM) toàn diện. Từ phiên bản 5.0 đến 5.7, điểm cuối (endpoint) truy xuất tệp đính kèm phỏng vấn trong mô-đun Tuyển dụng phục vụ các tệp dựa trên phiên đã xác thực và các định danh do người dùng cung cấp, mà không xác minh xem người yêu cầu có quyền truy cập vào hồ sơ phỏng vấn liên quan hay không. Do máy chủ không thực hiện bất kỳ kiểm tra ủy quyền nào ở cấp tuyển dụng, người dùng ở cấp ESS (Employee Self-Service) không có quyền truy cập vào quy trình tuyển dụng có thể trực tiếp yêu cầu URL tệp đính kèm phỏng vấn và nhận được các tệp tương ứng. Điều này khiến các tài liệu phỏng vấn nhạy cảm, bao gồm CV của ứng viên, đánh giá và các tệp hỗ trợ, bị phơi bày trước người dùng không được ủy quyền. Lỗi này xuất phát từ việc dựa vào các định danh đối tượng có thể dự đoán được và sự hiện diện của phiên làm việc thay vì xác thực mối liên hệ của người dùng với quy trình tuyển dụng liên quan. Vấn đề này đã được vá trong phiên bản 5.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.