CVE-2025-66224

概要

OrangeHRMは、包括的な人事管理（HRM）システムです。バージョン5.0から5.7において、このアプリケーションにはメール設定および配信ワークフローにインプットニュートラリゼーションの欠陥が存在し、ユーザーが制御する値がシステムのsendmailコマンドに直接流れ込むことを許します。これらの値は、コマンド実行パスに組み込まれる前にサニタイズまたは制約されないため、メール処理中に特定のsendmailの動作が意図せず呼び出される可能性があります。これにより、アプリケーションがメール処理ルーチンの一部としてサーバー上にファイルを書き込むことが可能になり、それらのファイルがWebアクセス可能な場所に置かれるデプロイ環境では、この動作を利用して攻撃者が制御するコンテンツの実行を達成できます。この問題は、メール送信ロジック内でサニタイズされていない入力を使用してOSレベルのコマンド文字列を構築することに完全に起因しています。この問題はバージョン5.8で修正されています。

• PoC-CVE-2025-66224エクスプロイト

  概念実証エクスプロイト (CVE-2025-66224) — OrangeHRM の sendmail_path パラメータにおけるコマンドインジェクションを介したリモートコード実行を示すもの。自動的なデータベースペイロードインジェクションとクリーンアップを伴う。