CVE-2025-66224
Mis à jour :
Exploitation de vulnérabilité dans OrangeHRM via la configuration de messagerie
Une faille d’absence de neutralisation des entrées, référencée CVE-2025-66224, affecte les versions 5.0 à 5.7 d’OrangeHRM. Elle réside dans le traitement de la configuration et de l’envoi des e-mails. Les données fournies par l’utilisateur ne sont pas correctement validées avant d’être insérées dans la commande sendmail du système.
Points Clés :
- Type de vulnérabilité : Input Neutralization Failure (Échec de neutralisation des entrées).
- Composant affecté : Mail configuration and delivery workflow (Flux de configuration et d’envoi des e-mails).
- Impact potentiel : Permet l’écriture de fichiers sur le serveur lors de la gestion des e-mails. Si ces fichiers sont accessibles via le web, cela peut mener à l’exécution de contenu contrôlé par un attaquant.
Vulnérabilités :
- CVE-2025-66224 : Input neutralization flaw in mail configuration.
Recommandations :
- Mettre à jour OrangeHRM vers la version 5.8 ou une version ultérieure.