CVE-2025-59524
Açıklama
Horilla, ücretsiz ve açık kaynaklı bir İnsan Kaynakları Yönetim Sistemi'dir (HRMS). Versiyon 1.4.0 öncesinde, dosya yükleme akışı doğrulamayı yalnızca tarayıcıda gerçekleştirmekte ve sunucu tarafı kontrollerini zorunlu kılmamaktadır. Bir saldırgan, istemci tarafındaki doğrulamayı atlayarak (örneğin, araya giren bir proxy ile veya özel olarak hazırlanmış bir istek göndererek) sunucuda yürütülebilir bir HTML belgesi depolayabilir. Bir yönetici veya diğer ayrıcalıklı kullanıcılar yüklenen dosyayı görüntülediğinde, gömülü betik onların bağlamında çalışır ve oturum çerezlerini (veya diğer kimlik bilgilerini) saldırganın kontrolündeki bir uç noktaya gönderir. Saldırgan daha sonra bu kimlik bilgilerini yöneticiyi taklit etmek için yeniden kullanır. Bu sorun versiyon 1.4.0 ile düzeltilmiştir.
Nasıl düzeltilir
- horilla horilla1.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| horilla horilla | v < 1.4.0 | 1.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.