OrangeHRM — это комплексная система управления человеческими ресурсами (HRM). Начиная с версии 5.0 до 5.7, приложение не делает существующие сеансы недействительными, когда пользователь отключен или когда происходит смена пароля, что позволяет активным файлам cookie сеанса оставаться действительными в течение неопределенного времени. В результате отключенный пользователь или злоумышленник, использующий скомпрометированную учетную запись, может продолжать получать доступ к защищенным страницам и выполнять операции до тех пор, пока предыдущий сеанс остается активным.
Поскольку во время этих критических изменений состояния сервер не выполняет отзыв сеанса или очистку хранилища сеансов, отключение учетной записи или обновление учетных данных не влияет на уже установленные сеансы. Это делает действия по административному отключению неэффективными и позволяет неавторизованным пользователям сохранять полный доступ даже после закрытия учетной записи или сброса пароля, что подвергает систему длительному несанкционированному использованию и значительно увеличивает влияние сценариев захвата учетной записи. Эта проблема исправлена в версии 5.8.
Показать оригинальное описание (EN)
OrangeHRM is a comprehensive human resource management (HRM) system. From version 5.0 to 5.7, the application does not invalidate existing sessions when a user is disabled or when a password change occurs, allowing active session cookies to remain valid indefinitely. As a result, a disabled user, or an attacker using a compromised account, can continue to access protected pages and perform operations as long as a prior session remains active. Because the server performs no session revocation or session-store cleanup during these critical state changes, disabling an account or updating credentials has no effect on already-established sessions. This makes administrative disable actions ineffective and allows unauthorized users to retain full access even after an account is closed or a password is reset, exposing the system to prolonged unauthorized use and significantly increasing the impact of account takeover scenarios. This issue has been patched in version 5.8.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Orangehrm Orangehrm
cpe:2.3:a:orangehrm:orangehrm:*:*:*:*:*:*:*:*
|
5.0
|
5.8
|