CVE-2026-39348
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pomija autoryzację w handlerach pobierania załączników do specyfikacji stanowisk i wakatów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać załączniki przez bezpośrednie odwołanie do identyfikatorów.
Ocena ryzyka
Nieautoryzowany dostęp do poufnych załączników, takich jak CV czy dokumenty rekrutacyjne, może naruszyć prywatność kandydatów i pracowników.
Rekomendacja
Zaktualizuj OrangeHRM do wersji 5.8.1 lub nowszej, która zawiera poprawkę.
Inne podatności w OrangeHRM
Zobacz wszystkie- CVE-2026-39349Niskie
OrangeHRM Open Source od wersji 5.0 do 5.8 szyfruje poufne pola za pomocą AES w trybie ECB, co zachowuje wzorce tekstu jawnego w szyfrogramie i umożliwia ujawnienie wzorców przechowywanych danych. Luka naprawiona w wersji 5.8.1.
- CVE-2026-39347Niskie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 akceptuje zmiany w samoocenach dla użytkowników administratora po oznaczeniu tych zgłoszeń jako zakończone, co narusza integralność sfinalizowanych rekordów ocen.
- CVE-2026-39346Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do wyłączonych modułów poprzez użycie zakodowanych w URL ścieżek żądań. Użytkownicy mogą uzyskać dostęp do funkcjonalności modułów wyłączonych przez administratora. Luka jest naprawiona w wersji 5.8.1.
- CVE-2026-39345Średnie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 zawiera podatność polegającą na braku ograniczenia rozdzielczości plików szablonów e-mail do zamierzonego katalogu wtyczek. Uwierzytelniony atakujący, który może wpływać na ścieżkę szablonu, może odczytać dowolne lokalne pliki. Problem został naprawiony w wersji 5.8.1.
Oryginalny opis (angielski, źródło NVD)
OrangeHRM is a comprehensive human resource management (HRM) system. From 5.0 to 5.8, OrangeHRM Open Source omits authorization on job specification and vacancy attachment download handlers, allowing authenticated low-privilege users to read attachments via direct reference to attachment identifiers. This vulnerability is fixed in 5.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS