CVE-2025-66289
Açıklama
OrangeHRM kapsamlı bir insan kaynakları yönetimi (HRM) sistemidir. 5.0 sürümünden 5.7 sürümüne kadar, uygulama bir kullanıcı devre dışı bırakıldığında veya parola değişikliği gerçekleştiğinde mevcut oturumları geçersiz kılmaz ve etkin oturum çerezlerinin süresiz olarak geçerli kalmasına izin verir. Sonuç olarak, devre dışı bırakılmış bir kullanıcı veya ele geçirilmiş bir hesabı kullanan bir saldırgan, önceki bir oturum etkin kaldığı sürece korunan sayfalara erişmeye ve işlemler gerçekleştirmeye devam edebilir. Sunucu bu kritik durum değişiklikleri sırasında hiçbir oturum iptali veya oturum deposu temizliği gerçekleştirmediğinden, bir hesabın devre dışı bırakılması veya kimlik bilgilerinin güncellenmesi zaten kurulmuş oturumlar üzerinde hiçbir etki yaratmaz. Bu durum, yönetici tarafından yapılan devre dışı bırakma işlemlerini etkisiz kılar ve yetkisiz kullanıcıların bir hesap kapatıldıktan veya parola sıfırlandıktan sonra bile tam erişimlerini korumalarına olanak tanıyarak sistemi uzun süreli yetkisiz kullanıma maruz bırakır ve hesap ele geçirme senaryolarının etkisini önemli ölçüde artırır. Bu sorun 5.8 sürümünde giderilmiştir.
Nasıl düzeltilir
- orangehrm orangehrm5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| orangehrm orangehrm | 5.0 ≤ v < 5.8 | 5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.