CVE-2025-66224

सारांश

OrangeHRM एक व्यापक मानव संसाधन प्रबंधन (HRM) प्रणाली है। संस्करण 5.0 से 5.7 तक, एप्लिकेशन में इसके मेल कॉन्फ़िगरेशन और डिलीवरी वर्कफ़्लो में एक इनपुट-न्यूट्रलाइज़ेशन दोष मौजूद है, जो उपयोगकर्ता-नियंत्रित मानों को सीधे सिस्टम के sendmail कमांड में प्रवाहित करने की अनुमति देता है। चूंकि इन मानों को कमांड निष्पादन पथ में शामिल करने से पहले सैनिटाइज़ या प्रतिबंधित नहीं किया जाता है, इसलिए ईमेल प्रोसेसिंग के दौरान कुछ sendmail व्यवहार अनजाने में ट्रिगर हो सकते हैं। यह एप्लिकेशन के लिए मेल-हैंडलिंग रूटीन के हिस्से के रूप में सर्वर पर फ़ाइलें लिखना संभव बनाता है, और उन तैनातियों में जहां ये फ़ाइलें वेब-एक्सेसिबल स्थानों पर समाप्त होती हैं, इस व्यवहार का उपयोग हमलावर-नियंत्रित सामग्री का निष्पादन प्राप्त करने के लिए किया जा सकता है। यह समस्या पूरी तरह से मेल-भेजने की लॉजिक के भीतर असैनिटाइज़्ड इनपुट का उपयोग करके OS-स्तरीय कमांड स्ट्रिंग्स बनाने से उत्पन्न होती है। इस समस्या को संस्करण 5.8 में पैच किया गया है।

• PoC-CVE-2025-66224एक्सप्लॉइट

  CVE-2025-66224 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जो OrangeHRM में sendmail_path पैरामीटर में कमांड इंजेक्शन के माध्यम से रिमोट कोड एक्जीक्यूशन प्रदर्शित करता है, साथ ही स्वचालित डेटाबेस पेलोड इंजेक्शन और क्लीनअप के साथ।