PT-2025-39320
CVE-2025-59524
·
تاريخ النشر
2025-09-24
·
تاريخ التحديث
2025-09-25
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Horilla الأقدم من 1.4.0
الوصف
يحتوي Horilla، وهو نظام لإدارة الموارد البشرية (HRMS)، على ثغرة تتمثل في أن عملية تحميل الملفات تفتقر إلى التحقق من صحة البيانات من جانب الخادم. يمكن التحايل على التحقق من صحة البيانات من جانب العميل، مما يسمح للمهاجم بتحميل مستند HTML قابل للتنفيذ. وعندما يقوم مستخدم ذو امتيازات بعرض هذا الملف، يتم تنفيذ البرامج النصية المضمنة، مما يؤدي إلى إرسال ملفات تعريف الارتباط الخاصة بالجلسة أو بيانات اعتماد أخرى إلى نقطة نهاية يسيطر عليها المهاجم. يمكن للمهاجم بعد ذلك استخدام بيانات الاعتماد هذه للتظاهر بأنه المسؤول. تتضمن سلسلة الهجوم المعرضة للخطر تحميل ملفًا ثم عرض المحتوى الذي تم تحميله لاحقًا بواسطة مستخدم ذي صلاحيات. يعتمد الهجوم على التحايل على عمليات التحقق من جانب العميل واستغلال عدم فرض التحقق من جانب الخادم.
التوصيات
قم بالتحديث إلى الإصدار 1.4.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾