PT-2025-48366 · Orangehrm · Orangehrm

CVE-2025-66225 · Publicado 2025-11-29 · Atualizado 2025-12-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OrangeHRM versões 5.0 a 5.7

Descrição O OrangeHRM é um sistema de gestão de recursos humanos. Existe uma falha no fluxo de redefinição de senha na qual o sistema não verifica se o username enviado na solicitação final de redefinição corresponde à conta que iniciou o processo. Um atacante pode modificar o parâmetro username na solicitação para visar um usuário diferente e definir com sucesso uma nova senha, levando à tomada total da conta, incluindo contas privilegiadas. Isso afeta as versões 5.0 a 5.7. O problema foi corrigido na versão 5.8.

Recomendações Atualize para a versão 5.8 ou posterior do OrangeHRM.

Exploit

Correção

Insufficient Verification of Data Authenticity

RCE

Enumeração de Fraquezas

CWE-345

CWE-640

CWE-20

Identificadores relacionados

CVE-2025-66225

GHSA-5GHW-9775-V263

Produtos afetados

Orangehrm

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66225.json · Exploit
• https://github.com/orangehrm/orangehrm/security/advisories/GHSA-5ghw-9775-v263 · Aviso do Fabricante
• https://twitter.com/DavidMarquet19/status/2003012773391781934 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1994613185505091700 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-66225 · Nota de Segurança
• https://t.me/cveNotify/144324 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1994643920114815301 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-66225 · Aviso do Fabricante
• https://t.me/CVEtracker/38468 · Publicação no Telegram