CVE-2026-39347
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 akceptuje zmiany w samoocenach dla użytkowników administratora po oznaczeniu tych zgłoszeń jako zakończone, co narusza integralność sfinalizowanych rekordów ocen.
Ocena ryzyka
Administrator może modyfikować zakończone samooceny, co może prowadzić do fałszowania danych ocen pracowniczych i naruszenia integralności procesu oceny.
Rekomendacja
Zaleca się aktualizację OrangeHRM do wersji 5.8.1 lub nowszej.
Inne podatności w OrangeHRM
Zobacz wszystkie- CVE-2026-39349Niskie
OrangeHRM Open Source od wersji 5.0 do 5.8 szyfruje poufne pola za pomocą AES w trybie ECB, co zachowuje wzorce tekstu jawnego w szyfrogramie i umożliwia ujawnienie wzorców przechowywanych danych. Luka naprawiona w wersji 5.8.1.
- CVE-2026-39348Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pomija autoryzację w handlerach pobierania załączników do specyfikacji stanowisk i wakatów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać załączniki przez bezpośrednie odwołanie do identyfikatorów.
- CVE-2026-39346Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do wyłączonych modułów poprzez użycie zakodowanych w URL ścieżek żądań. Użytkownicy mogą uzyskać dostęp do funkcjonalności modułów wyłączonych przez administratora. Luka jest naprawiona w wersji 5.8.1.
- CVE-2026-39345Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 zawiera podatność polegającą na braku ograniczenia rozdzielczości plików szablonów e-mail do zamierzonego katalogu wtyczek. Uwierzytelniony atakujący, który może wpływać na ścieżkę szablonu, może odczytać dowolne lokalne pliki. Problem został naprawiony w wersji 5.8.1.
Oryginalny opis (angielski, źródło NVD)
OrangeHRM is a comprehensive human resource management (HRM) system. From 5.0 to 5.8, OrangeHRM Open Source accepts changes to self-appraisal submissions for administrator users after those submissions have been marked completed, breaking integrity of finalized appraisal records. This vulnerability is fixed in 5.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS