CVE-2025-66225
Açıklama
OrangeHRM kapsamlı bir insan kaynakları yönetim (HRM) sistemidir. 5.0 ile 5.7 versiyonları arasında, şifre sıfırlama iş akışı, son sıfırlama isteğinde gönderilen kullanıcı adının, sıfırlama işleminin başlangıçta başlatıldığı hesapla eşleşmesini zorunlu kılmamaktadır. E-posta alabildikleri herhangi bir hesap için geçerli bir sıfırlama bağlantısı elde eden bir saldırgan, farklı bir kullanıcıyı hedeflemek için son sıfırlama isteğindeki username parametresini değiştirebilir. Sistem sağlanan kullanıcı adını doğrulama yapmadan kabul ettiği için saldırgan, ayrıcalıklı hesaplar da dahil olmak üzere seçtiği herhangi bir hesap için yeni bir şifre belirleyebilir ve bu durum tam hesap ele geçirilmesine yol açar. Bu sorun 5.8 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
- orangehrm orangehrm5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| orangehrm orangehrm | 5.0 ≤ v < 5.8 | 5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.