CVE-2025-66224
OrangeHRM è vulnerabile all'esecuzione di codice tramite scrittura arbitraria di file da injection del parametro Sendmail
- Pubblicato
- 29 nov 2025
- Aggiornato
- 1 dic 2025
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 45,5%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
OrangeHRM è un sistema completo di gestione delle risorse umane (HRM). Dalla versione 5.0 alla 5.7, l'applicazione contiene una vulnerabilità di neutralizzazione dell'input nel flusso di configurazione e consegna della posta che consente a valori controllati dall'utente di fluire direttamente nel comando sendmail del sistema. Poiché questi valori non vengono sanificati o vincolati prima di essere incorporati nel percorso di esecuzione del comando, alcuni comportamenti di sendmail possono essere invocati involontariamente durante l'elaborazione delle email. Ciò rende possibile per l'applicazione scrivere file sul server come parte della routine di gestione della posta e, nelle distribuzioni in cui tali file finiscono in posizioni accessibili dal web, il comportamento può essere sfruttato per ottenere l'esecuzione di contenuti controllati dall'attaccante. Il problema deriva interamente dalla costruzione di stringhe di comando a livello di sistema operativo utilizzando input non sanificati all'interno della logica di invio della posta. Questo problema è stato corretto nella versione 5.8.
Fonti
- PoC-CVE-2025-66224Exploit
Exploit proof-of-concept per CVE-2025-66224 che dimostra l'esecuzione remota di codice in OrangeHRM tramite iniezione di comandi nel parametro sendmail_path, con iniezione automatizzata del payload nel database e pulizia.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.