CVE-2025-66291

OrangeHRM الإصدارات من 5.0 إلى 5.7

يحتوي OrangeHRM، وهو نظام لإدارة الموارد البشرية، على ثغرة أمنية في وحدة التوظيف تتيح الوصول إلى مرفقات المقابلات دون الحصول على الإذن اللازم. يؤثر هذا الخلل على الإصدارات من 5.0 إلى 5.7. لا تتحقق نقطة النهاية الخاصة باسترداد مرفقات المقابلات مما إذا كان المستخدم الذي يطلب الملف يمتلك إذنًا للوصول إلى سجل المقابلة المرتبط. يمكن لمستخدم من مستوى ESS، لا يمتلك حق الوصول إلى سير عمل التوظيف، أن يطلب عناوين URL لمرفقات المقابلات ويسترد مستندات سرية، مثل السير الذاتية للمرشحين والتقييمات. ويحدث ذلك لأن النظام يعتمد على معرّفات الكائنات التي يمكن توقعها ووجود جلسة عمل، بدلاً من التحقق من ارتباط المستخدم بعملية التوظيف. تم إصلاح الثغرة الأمنية في الإصدار 5.8. نقطة نهاية واجهة برمجة التطبيقات (API) المعنية هي نقطة نهاية استرداد مرفقات المقابلات داخل وحدة التوظيف. تنجم هذه الثغرة الأمنية عن عدم وجود عمليات التحقق من التفويض قبل تقديم الملفات استنادًا إلى المعرّفات التي يقدمها المستخدم، وتحديدًا معرّف المرفق (attachment id).

يجب تحديث الإصدارات من 5.0 إلى 5.7 إلى الإصدار 5.8 أو أحدث لحل هذه الثغرة.