Horilla — это программное обеспечение для управления персоналом и CRM. В версии 1.5.0 конечные точки уведомлений доверяют непроверенному следующему параметру и перенаправляют пользователей на произвольные внешние URL-адреса. Это позволяет злоумышленнику превратить доверенные ссылки на приложения в фишинговые или социальные перенаправления.
Показать оригинальное описание (EN)
Horilla is an HR and CRM software. In 1.5.0, the notification endpoints trust the unvalidated next parameter and redirect users to arbitrary external URLs. This allows an attacker to turn trusted application links into phishing or social-engineering redirects.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Активное
Нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0