CVE-2026-63432
Horilla: Server-Side Template Injection (SSTI) in Mail-Vorschau-Endpunkten ermöglicht authentifizierten Benutzern die Offenlegung von Passwort-Hashes und Server-Metadaten
- Veröffentlicht
- 25.09.2026
- Aktualisiert
- 28.09.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 29.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NNiedrig · nächste 30 Tage
- Perzentil
- 22,9 %
- Modelldatum
- 17.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Horilla ist eine HR- und CRM-Software. Von 1.0.0 bis 1.6.0 und 2.0.0 rendern die get_mail_preview-Handler in recruitment/views/actions.py und employee/not_in_out_dashboard.py einen benutzergesteuerten Body unter /recruitment/get-mail-preview/ und /employee/get-employee-mail-preview mit dem vollständigen Request-Objekt im Django-Template-Kontext. Ein authentifizierter Benutzer mit einem gültigen CSRF-Token kann Template-Attribut-Traversierung nutzen, um request.user.password, request.META und Attribute zugehöriger Benutzer auszulesen, wodurch Passwort-Hashes, personenbezogene Daten und Server-Request-Metadaten offengelegt werden. Django-Template-Einschränkungen verhindern die Ausführung beliebigen Codes über dieses Primitiv, sodass die nachgewiesene Auswirkung in der Offenlegung von Informationen und möglichem Offline-Passwort-Cracking oder Kontokompromittierung besteht. Dieses Problem ist in den Versionen 1.6.0 und 2.0.0 behoben.
Quellen
PoCs & Write-ups zu CVEs, die ich gemeldet habe (koordinierte Offenlegung; nur veröffentlichte und gepatchte)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.