CVE-2026-91770

ŚrednieCVSS 6.5

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

IceHRM przed wersją 36.0.0 nie weryfikuje własności pracownika w siedmiu punktach końcowych REST, co pozwala uwierzytelnionym pracownikom odczytywać dane HR dowolnego kolegi. Atakujący mogą podstawiać dowolne identyfikatory pracowników w punktach końcowych umiejętności, edukacji, certyfikatów, języków, urlopów, obecności i statusu, aby uzyskać dostęp do wrażliwych danych osobowych.

Ocena ryzyka

Naruszenie prywatności pracowników i potencjalne wycieki wrażliwych danych osobowych, co może prowadzić do konsekwencji prawnych i utraty zaufania.

Rekomendacja

Zaktualizuj IceHRM do wersji 36.0.0 lub nowszej, która zawiera poprawki weryfikujące własność danych.

Inne podatności w IceHRM

CVE-2026-15478Średnie
W IceHRM do wersji 35.0.1 wykryto podatność na iniekcję SQL w pliku EmployeeAttendanceReport.php. Atakujący może zdalnie manipulować argumentem employeeList, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

IceHRM before 36.0.0 fails to validate employee ownership on seven REST sub-resource endpoints, allowing authenticated employees to read any colleague's HR records. Attackers can substitute arbitrary employee IDs in skill, education, certification, language, leave, attendance, and status endpoints to access sensitive personnel data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS