CVE-2026-39348
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
OrangeHRM Open Source w wersjach od 5.0 do 5.8 pomija autoryzację w handlerach pobierania załączników do specyfikacji stanowisk i wakatów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać załączniki przez bezpośrednie odwołanie do identyfikatorów.
Ocena ryzyka
Nieautoryzowany dostęp do poufnych załączników, takich jak CV czy dokumenty rekrutacyjne, może naruszyć prywatność kandydatów i pracowników.
Rekomendacja
Zaktualizuj OrangeHRM do wersji 5.8.1 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
OrangeHRM is a comprehensive human resource management (HRM) system. From 5.0 to 5.8, OrangeHRM Open Source omits authorization on job specification and vacancy attachment download handlers, allowing authenticated low-privilege users to read attachments via direct reference to attachment identifiers. This vulnerability is fixed in 5.8.1.