PT-2025-48368
CVE-2025-66290
·
تاريخ النشر
2025-11-29
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OrangeHRM من 5.0 إلى 5.7
الوصف
يسمح برنامج OrangeHRM، وهو نظام لإدارة الموارد البشرية، بالوصول غير المصرح به إلى ملفات المرشحين من خلال نقطة النهاية الخاصة باسترداد مرفقات التوظيف. لا يقوم التطبيق بتطبيق إجراءات التحقق من التفويض بشكل صحيح قبل إتاحة ملفات المرشحين. ولا يزال بإمكان المستخدمين ذوي امتيازات الوصول المحدودة، وتحديداً أولئك الذين يتمتعون بوصول من مستوى ESS (نظام الدعم المؤسسي) والمقيدين بوحدة التوظيف، الوصول إلى عناوين URL الخاصة بمرفقات المرشحين. عند إرسال طلب إلى نقطة نهاية المرفقات، يتحقق النظام من الجلسة، لكنه لا يتأكد مما إذا كان المستخدم يمتلك أذونات التوظيف اللازمة. وهذا يسمح لأي مستخدم مسجل الدخول بتنزيل السير الذاتية (CVs) والمستندات الأخرى التي تم تحميلها لأي مرشح عن طريق طلبها مباشرةً من نقطة نهاية المرفقات، مما يؤدي إلى كشف البيانات الحساسة للمرشحين. نقطة النهاية المعرضة للخطر هي نقطة النهاية الخاصة باسترداد مرفقات التوظيف. تم إصلاح المشكلة في الإصدار 5.8.
التوصيات
الإصدارات الأقدم من 5.8 متأثرة بهذه المشكلة.
قم بالتحديث إلى الإصدار 5.8 أو أحدث لحل هذه المشكلة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾