PT-2025-39309 · Unknown · Horilla Hrm

Naklehzeidan21 · Publicado 2025-09-24 · Atualizado 2025-09-24 · CVE-2025-48867

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Horilla HRM versão 1.3.0

Descrição O Horilla é um Sistema de Gestão de Recursos Humanos (HRMS) gratuito e de código aberto. Uma vulnerabilidade de cross-site scripting (XSS) armazenado no Horilla HRM versão 1.3.0 permite que administradores autenticados ou usuários privilegiados injetem payloads JavaScript maliciosos em múltiplos campos dentro dos módulos de Projeto e Tarefa. Esses payloads são armazenados no banco de dados e executados quando visualizados por um administrador ou outros usuários privilegiados através da interface web. A vulnerabilidade não é explorável por usuários não autenticados, mas representa um risco de sequestro de sessão e ações não autorizadas em contas com privilégios elevados.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-48867

GHSA-W242-XV47-J55R

Produtos afetados

Horilla Hrm

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48867.json · Exploit
• https://github.com/horilla-opensource/horilla/security/advisories/GHSA-w242-xv47-j55r · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-48867 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48867 · Nota de Segurança
• https://t.me/CVEtracker/33269 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1970906973739561342 · Publicação no Twitter