CVE-2025-66290

OrangeHRM Open Source od wersji 5.0 do 5.8 szyfruje poufne pola za pomocą AES w trybie ECB, co zachowuje wzorce tekstu jawnego w szyfrogramie i umożliwia ujawnienie wzorców przechowywanych danych. Luka naprawiona w wersji 5.8.1.

OrangeHRM Open Source w wersjach od 5.0 do 5.8 pomija autoryzację w handlerach pobierania załączników do specyfikacji stanowisk i wakatów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać załączniki przez bezpośrednie odwołanie do identyfikatorów.

OrangeHRM Open Source w wersjach od 5.0 do 5.8 akceptuje zmiany w samoocenach dla użytkowników administratora po oznaczeniu tych zgłoszeń jako zakończone, co narusza integralność sfinalizowanych rekordów ocen.

OrangeHRM Open Source w wersjach od 5.0 do 5.8 pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do wyłączonych modułów poprzez użycie zakodowanych w URL ścieżek żądań. Użytkownicy mogą uzyskać dostęp do funkcjonalności modułów wyłączonych przez administratora. Luka jest naprawiona w wersji 5.8.1.

OrangeHRM Open Source w wersjach od 5.0 do 5.8 zawiera podatność polegającą na braku ograniczenia rozdzielczości plików szablonów e-mail do zamierzonego katalogu wtyczek. Uwierzytelniony atakujący, który może wpływać na ścieżkę szablonu, może odczytać dowolne lokalne pliki. Problem został naprawiony w wersji 5.8.1.

OrangeHRM w wersjach od 5.0 do 5.7 posiada endpoint pobierania załączników rozmów kwalifikacyjnych w module Rekrutacji, który serwuje pliki wyłącznie na podstawie sesji i identyfikatorów podanych przez użytkownika, bez weryfikacji uprawnień do rekordu rozmowy. Użytkownik na poziomie ESS bez dostępu do rekrutacji może pobrać poufne dokumenty, takie jak CV kandydatów i oceny.

OrangeHRM w wersjach 5.0–5.7 nie unieważnia istniejących sesji przy wyłączeniu użytkownika ani zmianie hasła, przez co aktywne ciasteczka sesji pozostają ważne bezterminowo. Wyłączone konto lub przejęte konto może nadal uzyskiwać dostęp do chronionych stron. Problem naprawiono w wersji 5.8.

W OrangeHRM w wersjach 5.0–5.7 proces resetowania hasła nie weryfikuje, czy nazwa użytkownika w końcowym żądaniu odpowiada kontu, dla którego rozpoczęto reset. Atakujący może zmienić parametr username i ustawić nowe hasło dla dowolnego konta, w tym uprzywilejowanego.

OrangeHRM to kompleksowy system zarządzania zasobami ludzkimi (HRM). W wersjach od 5.0 do 5.7 aplikacja zawiera błąd neutralizacji danych wejściowych w konfiguracji poczty i procesie dostarczania wiadomości, który pozwala wartościom kontrolowanym przez użytkownika trafiać bezpośrednio do polecenia sendmail. Ponieważ wartości te nie są oczyszczane ani ograniczane przed włączeniem do ścieżki wykonania polecenia, podczas przetwarzania wiadomości mogą zostać nieumyślnie wywołane określone zachowania sendmail. Umożliwia to aplikacji zapisywanie plików na serwerze w ramach procedury obsługi poczty, a w środowiskach, w których pliki te trafiają do lokalizacji dostępnych przez sieć, zachowanie to można wykorzystać do wykonania treści kontrolowanych przez atakującego. Problem wynika w całości z konstruowania ciągów poleceń na poziomie systemu operacyjnego przy użyciu nieoczyszczonych danych wejściowych w logice wysyłania poczty. Błąd został naprawiony w wersji 5.8.