nvd,anchore_overrides

Horilla

Уязвимости

Эксплуатируемые

Критический

Высокий

Топ продуктов

Топ уязвимостей

CVE-2025-59832В системе управления человеческими ресурсами Horilla существует уязвимость межсайтового скриптинга (XSS) в редакторе комментариев к билетам. Аутентифицированный пользователь с низкими привилегиями может выполнить произвольный JavaScript в браузере администратора, похитить его куки/CSRF-токен и захватить сессию. В поле комментария к билету принимаются неэкранированные HTML/JS. Когда включено отображение кода, разметка, предоставленная злоумышленником, может быть отображена как исполняемый HTML, а не как экранированный текст. Аутентифицированный пользователь с низкими привилегиями может создать комментарий, содержащий полезную нагрузку XSS. Когда администратор просматривает билет, полезная нагрузка выполняется в браузере администратора под уязвимым источником. Предоставленный PoC демонстрирует эксплуатацию end-to-end, которая: считывает document.cookie и передает его на конечную точку злоумышленника, анализирует csrftoken из куки, использует CSRF-токен для выполнения аутентифицированного запроса к /project/create-time-sheet и извлекает конфиденциальную форму из ответа. Поскольку скрипт выполняется в источнике жертвы, политика Same-Origin и обычные клиентские защиты фактически обходятся для сессии администратора, что позволяет полностью захватить сессию и выдать себя за администратора. Уязвимость исправлена в версии 1.4.0 [1]. Источники: - [1] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-8x78-6q9g-hv2h - [2] https://github.com/Mmo-kali/CVE/blob/main/CVE-2025-59832/2025-08-Horilla_Vulnerability_1.pdf

CVE-2026-40866Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). В 1.5.0 небезопасная прямая ссылка на объект в конечной точке загрузки документа сотрудника позволяет любому аутентифицированному пользователю перезаписать или заменить или повредить документ другого сотрудника, изменив идентификатор документа в запросе загрузки. Это позволяет несанкционированно модифицировать записи HR.

CVE-2026-24038Horilla - это бесплатная и открытая система управления человеческими ресурсами (HRMS). В версии 1.4.0 логика обработки OTP имеет ошибочную проверку равенства, которую можно обойти. Когда OTP истекает, сервер возвращает None, и если злоумышленник пропускает всплывающее поле из своего запроса POST, поставляемый пользователем OTP также не является None, в результате чего сравнение user_otp == otp проходит. Это позволяет злоумышленнику полностью обойти двухфакторную аутентификацию, даже не предоставив действительный OTP. Если административные счета будут нацелены, это может привести к компрометации конфиденциальных данных HR, манипулированию записями сотрудников и дальнейшим общесистемным злоупотреблениям. Эта проблема исправлена в версии 1.5.0.

CVE-2026-24010Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). Уязвимость критического загрузки файлов в версиях до 1.5.0 с Social Engineering позволяет аутентифицированным пользователям развертывать фишинговые атаки. Загрузив вредоносный HTML-файл, замаскированный под изображение профиля, злоумышленник может создать убедительную копию страницы входа, которая крадет учетные данные пользователя. Когда жертва посещает URL-адрес загруженного файла, они видят аутентичное сообщение «Сесион истек», побуждающее их повторно аутентифицироваться. Все введенные учетные данные захватываются и отправляются на сервер злоумышленника, что позволяет захватить учетную запись. Версия 1.5.0 латает проблему.

CVE-2025-59525Horilla - это бесплатное и открытое программное обеспечение для управления человеческими ресурсами (HRMS). До версии 1.4.0 отсутствовала надлежащая обработка ввода данных во всем приложении, что позволяло выполнить XSS через загруженный SVG (и через разрешенный тег <embed>), который мог быть объединен для выполнения JavaScript всякий раз, когда пользователи просматривали затронутое содержимое (например, объявления). Это могло привести к захвату учетной записи администратора [1]. Источники: - [1] https://github.com/Mmo-kali/CVE/blob/main/CVE-2025-59525/2025-08-Horilla_Vulnerability_2.pdf - [2] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-rp5m-vpqr-vpvp - [3] https://github.com/horilla-opensource/horilla/releases/tag/1.4.0

CVE-2025-59524Horilla — это бесплатная система управления человеческими ресурсами (HRMS) с открытым исходным кодом. До версии 1.4.0 поток загрузки файлов выполнял проверку только в браузере и не обеспечивал проверку на стороне сервера. Злоумышленник мог обойти проверку на стороне клиента (например, с помощью перехватывающего прокси или путем отправки специально созданного запроса), чтобы сохранить исполняемый документ HTML на сервере. Когда администратор или другой привилегированный пользователь просматривал загруженный файл, встроенный сценарий запускался в его контексте и отправлял файлы cookie (или другие учетные данные) на конечную точку, контролируемую злоумышленником [1]. Затем злоумышленник повторно использовал эти учетные данные для выдачи себя за администратора. Эта проблема исправлена в версии 1.4.0 [2]. Источники: - [1] https://github.com/Mmo-kali/CVE/blob/main/CVE-2025-59524/2025-08-Horilla_Vulnerability_3.pdf - [2] https://github.com/horilla-opensource/horilla/releases/tag/1.4.0

CVE-2025-48869Horilla - это бесплатная система управления человеческими ресурсами (HRMS) с открытым исходным кодом. Неавторизованные пользователи могут получить доступ к загруженным файлам резюме в Horilla 1.3.0 путем прямого угадывания или предсказания URL-адресов файлов. Эти файлы хранятся в общедоступном каталоге, что позволяет злоумышленникам извлекать конфиденциальную информацию о кандидатах без аутентификации. На момент публикации неизвестно о существовании патча [1]. Источники: - [1] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-99h5-x29f-727w

CVE-2025-48868В Horilla, свободном и открытом HRMS, существует уязвимость, связанная с выполнением произвольного кода (RCE) из-за небезопасного использования функции eval() Python в параметре запроса проекта project_bulk_archive. Это позволяет привилегированным пользователям (например, администраторам) выполнять произвольные системные команды на сервере. Хотя наличие DEBUG=True в Django делает эксплуатацию более очевидной, возвращая вывод команды в HTTP-ответе, это не является обязательным. Уязвимость может быть эксплуатирована и в режиме DEBUG=False с использованием "слепых" нагрузок, таких как обратный шелл, что приводит к полному удаленному выполнению кода. Проблема исправлена в версии 1.3.1 [1]. Источники: - [1] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-h6qj-pwmx-wjhw - [2] https://github.com/horilla-opensource/horilla/commit/b0aab62b3a5fe6b7114b5c58db129b3744b4d8cc - [3] https://drive.google.com/file/d/1XQAJilt77QxkjGEa94CsZRqZIZXa3ET9/view?usp=sharing - [4] https://drive.google.com/file/d/1hnI9AK3fnpVrTlTRF7aRJsKhZCDIm2Ve/view?usp=sharing

CVE-2026-40867Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). В 1.5.0 сломанная уязвимость контроля доступа в обзоре вложений в службу поддержки позволяет любому аутентифицированному пользователю просматривать вложения из других билетов, изменяя идентификатор вложения. Это может выявить конфиденциальные файлы поддержки и внутренние документы между неродственными пользователями или командами.

CVE-2026-40865Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). В пункте 1.5.0 небезопасная прямая ссылка на объект в прослушке документа сотрудника позволяет любому аутентифицированному пользователю получить доступ к загруженным документам других сотрудников путем изменения идентификатора документа в запросе. Это раскрывает конфиденциальные файлы HR, такие как документы, удостоверяющие личность, контракты, сертификаты и другие записи частных сотрудников.

CVE-2025-47789В Horilla до версии 1.3 существует уязвимость открытого перенаправления при входе в систему, позволяющая атакующему создать URL, который перенаправляет пользователя на внешний домен после входа. Для эксплуатации необходимо создать специальную ссылку и заставить пользователя открыть ее. Источники: - [1] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-cqp5-xx4j-r468 - [2] https://github.com/horilla-opensource/horilla/commit/1c72404df6888bb23af73c767fdaee5e6679ebd6

CVE-2026-24037Horilla - это бесплатная и открытая система управления человеческими ресурсами (HRMS). В версии 1.4.0 функция have_xss() пытается блокировать XSS путем сопоставления ввода с набором шаблонов regex. Тем не менее, регекси неполные и контекстно-независимы, что делает их легкими для обхода. Злоумышленники могут перенаправлять пользователей на вредоносные домены, запускать внешний JavaScript и красть токены CSRF, которые можно использовать для создания атак CSRF против администраторов. Эта проблема исправлена в версии 1.5.0.

CVE-2026-24034Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). В версиях до 1.5.0 может быть вызвана уязвимость сценариев кросс-сайт, поскольку расширение и тип контента не проверяются на этапе обновления фотографии профиля. Версия 1.5.0 исправляет проблему.

CVE-2026-24036Horilla - это бесплатная и открытая система управления человеческими ресурсами (HRMS). Версии 1.4.0 и выше раскрывают неопубликованные объявления о вакансиях через /recruitment/recruitment-details// конечную точку без аутентификации. Ответ включает в себя проекты названий должностей, описаний и ссылки на приложения, позволяющие неаутентифицированным пользователям просматривать неопубликованные роли и получать доступ к рабочему процессу приложений для неопубликованных заданий. Несанкционированный доступ к неопубликованным вакансий может утечь конфиденциальную информацию о внутреннем найме и вызвать путаницу среди кандидатов. Эта проблема исправлена в версии 1.5.0.

CVE-2024-12138Критическая уязвимость была обнаружена в horilla до версии 1.2.1. Эта уязвимость затрагивает функции request_new/get_employee_shift/create_reimbursement/key_result_current_value_update/create_meetings/create_skills. Манипуляция приводит к десериализации. Атака может быть инициирована удаленно. Эксплойт был обнародован и может быть использован. С поставщиком связались заранее по поводу этого раскрытия, но он никак не отреагировал.

CVE-2025-48867В Horilla HRM версии 1.3.0 существует уязвимость межсайтового скриптинга (XSS), позволяющая аутентифицированным администраторам или привилегированным пользователям внедрять вредоносные JavaScript в несколько полей в модулях Project и Task. Эти полезные данные сохраняются в базе данных и выполняются при просмотре администратором или другими привилегированными пользователями через веб-интерфейс. Хотя проблема не может быть эксплуатирована неаутентифицированными пользователями, она все равно представляет высокий риск перехвата сессии и неавторизованных действий в учетных записях с высокими привилегиями [1]. Источники: - [1] https://github.com/horilla-opensource/horilla/security/advisories/GHSA-w242-xv47-j55r

CVE-2026-24039Horilla - это бесплатная и открытая система управления человеческими ресурсами (HRMS). Версия 1.4.0 имеет неправильный контроль доступа, позволяющий низкопривилегированным сотрудникам самостоятельно одобрить документы, которые они загрузили. Пользовательский интерфейс для утверждения документов предназначен только для администратора или высокопривилегированных ролей; однако недостаточная проверка авторизации на стороне сервера на конечной точке утверждения позволяет стандартному сотруднику изменять статус одобрения своего собственного загруженного документа. Успешная эксплуатация позволяет пользователям, у которых есть только разрешения на уровне сотрудников, изменять состояние приложения, зарезервированное для администраторов. Это подрывает целостность HR-процессов (например, принятие учетных данных, сертификатов или вспомогательных материалов) и может позволить представлять непроверенные документы. Эта проблема исправлена в версии 1.5.0.

CVE-2026-24035Horilla - это бесплатная система управления человеческими ресурсами с открытым исходным кодом (HRMS). Уязвимость неправильный контроль доступа существует в программном обеспечении Horilla HR, начиная с версии 1.4.0 и до версии 1.5.0, что позволяет любому аутентифицированному сотруднику загружать документы от имени другого сотрудника без надлежащего разрешения. Это происходит из-за недостаточной проверки параметра meter пользователя на стороне сервера во время операций загрузки файлов, что позволяет любому аутентифицированному сотруднику загружать документ от имени любого сотрудника. Версия 1.5.0 исправляет проблему.

CVE-2026-3049Уязвимость была обнаружена в горилло-фронторе до 1.0.2. Эта проблема влияет на функцию получения файла gorilla_generics/global_search.py компонента Погрузчик параметров запроса. Манипуляция аргументом prev_url приводит к открытому перенаправлению. Атака может быть выполнена дистанционно. Эксплойт теперь публичный и может быть использован. Обновление до версии 1.0.3 способно решить эту проблему. Патч идентифицирован как 730b5a44ff060916780c44a4bdbc8ced70a2cd27. Пораженный компонент должен быть модернизирован.

CVE-2026-3050Недостаток был обнаружен в горилло-снавесном хорилле до 1,0.2. Поражена неизвестная функция статического/актива/js/global.js компонента Leads Module. Эта манипуляция аргументом Notes вызывает кросс-сайт скрипты. Атака возможна дистанционно. Эксплойт был опубликован и может быть использован. Для решения этой проблемы рекомендуется перейти на версию 1.0.3. Название патча: fc5c8e55988e89273012491b5f097b762b474546. Предлагается модернизировать пораженный компонент.

Открыть в каталоге с фильтром по вендору →