Orangehrm SQL注入漏洞

漏洞介绍

Orangehrm是美国Orangehrm公司的一套人力资源管理系统（HRM）。该系统支持人事信息管理、休假管理、考勤管理和招聘管理等功能。

OrangeHRM 版本 4.6 存在SQL注入漏洞，该漏洞允许远程身份验证的攻击者通过orangehrmBuzzPlugin/lib/dao/BuzzDao.php loadMorePostsForm[profileUserId]参数执行任意SQL命令。

漏洞补丁

目前厂商已发布升级了Orangehrm SQL注入漏洞的补丁，Orangehrm SQL注入漏洞的补丁获取链接：

https://github.com/orangehrm/orangehrm/releases

参考网址

来源:CONFIRM

链接：https://github.com/orangehrm/orangehrm/releases

来源:MISC

链接：https://www.horizon3.ai/disclosures/orangehrm-sqli.html

来源:MISC

链接：https://github.com/orangehrm/orangehrm/issues/695

来源:MISC

链接：https://github.com/orangehrm/orangehrm/pull/699

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202101-244