CVE-2025-66290
Təsvir
OrangeHRM genişmiqyaslı insan resurslarının idarəetmə (HRM) sistemidir. Versiya 5.0-dan 5.7-yə qədər tətbiqin işə qəbul əlavələrinin əldə edilməsi son nöqtəsi (endpoint), namizəd fayllarını təqdim etməzdən əvvəl tələb olunan avtorizasiya yoxlamalarını həyata keçirmir. Hətta İşçilərin ÖzünəXidmət (ESS) səviyyəli girişlə məhdudlaşdırılmış və İşə Qəbul modulunu görmək icazəsi olmayan istifadəçilər belə, namizəd əlavələrinin URL ünvanlarına birbaşa daxil ola bilirlər. Əlavə son nöqtəsinə autentifikasiya olunmuş sorğu göndərildikdə, sistem sessiyanı təsdiqləyir, lakin sorğunu göndərən istifadəçinin lazımi işə qəbul icazələrinə malik olduğunu yoxlamır. Nəticədə, hər hansı autentifikasiya olunmuş istifadəçi əlavə son nöqtəsinə birbaşa sorğular göndərməklə istənilən namizədin CV-lərini və digər yüklənmiş sənədlərini yükləyə bilər ki, bu da müraciət edənlərin həssas məlumatlarının icazəsiz ifşasına gətirib çıxarır. Bu problem versiya 5.8-də aradan qaldırılıb.
Necə düzəltmək olar
- orangehrm orangehrm5.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| orangehrm orangehrm | 5.0 ≤ v < 5.8 | 5.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.