CVE-2026-63432
Horilla: Server-Side Template Injection (SSTI) negli endpoint di anteprima della posta consente agli utenti autenticati di divulgare hash di password e metadati del server
- Pubblicato
- 25 set 2026
- Aggiornato
- 28 set 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 29 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBasso · prossimi 30 giorni
- Percentile
- 22,9%
- Data del modello
- 17 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Horilla è un software HR e CRM. Dalla versione 1.0.0 fino alla 1.6.0 e alla 2.0.0, i gestori get_mail_preview in recruitment/views/actions.py e employee/not_in_out_dashboard.py renderizzano un body controllato dall'utente su /recruitment/get-mail-preview/ e /employee/get-employee-mail-preview con l'oggetto request completo nel contesto del template Django. Un utente autenticato con un token CSRF valido può utilizzare il traversal degli attributi del template per leggere request.user.password, request.META e attributi di utenti correlati, esponendo hash di password, dati personali e metadati delle richieste del server. Le restrizioni dei template Django impediscono l'esecuzione arbitraria di codice tramite questa primitiva, quindi l'impatto dimostrato è la divulgazione di informazioni e il possibile cracking offline delle password o la compromissione dell'account. Questo problema è risolto nelle versioni 1.6.0 e 2.0.0.
Fonti
PoC e write-up per le CVE che ho segnalato (divulgazione coordinata; solo pubblicate e corrette)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.