CVE-2025-66289

OrangeHRM hərtərəfli insan resurslarının idarəetmə (HRM) sistemidir. Versiya 5.0-dan 5.7-yə qədər tətbiq, istifadəçi deaktiv edildikdə və ya şifrə dəyişdirildikdə mövcud sessiyaları etibarsız etmir, bu da aktiv sessiya kukilərinin qeyri-müəyyən müddətə etibarlı qalmasına imkan verir. Nəticədə, deaktiv edilmiş istifadəçi və ya ələ keçirilmiş hesabdan istifadə edən hücumçu, əvvəlki sessiya aktiv olduğu müddətcə qorunan səhifələrə daxil olmağa və əməliyyatlar yerinə yetirməyə davam edə bilər. Server bu kritik vəziyyət dəyişiklikləri zamanı sessiyanın ləğvini və ya sessiya anbarının təmizlənməsini həyata keçirmədiyi üçün, hesabın deaktiv edilməsi və ya etibarnamələrin yenilənməsi artıq qurulmuş sessiyalara təsir göstərmir. Bu, inzibati deaktivləşdirmə hərəkətlərini səmərəsiz edir və icazəsiz istifadəçilərin hesab bağlanmış və ya şifrə sıfırlanmış olsa belə tam giriş imkanını saxlamasına şərait yaradır ki, bu da sistemi uzunmüddətli icazəsiz istifadəyə məruz qoyur və hesabın ələ keçirilməsi ssenarilərinin təsirini əhəmiyyətli dərəcədə artırır. Bu problem versiya 5.8-də aradan qaldırılmışdır.