در نسخه‌های 1.5.0-85 و قدیمی‌تر نرم‌افزار مدیریت منابع انسانی و CRM موسوم به Horilla، یک نقص امنیتی در بخش مدیریت حقوق و دستمزد شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری که با شناسه CVE-2026-63431 ثبت شده است، مربوط به عدم کنترل صحیح دسترسی (Broken Access Control) در فایل payroll/views/component_views.py است. در متدهای allowances_deductions_tab، view_single_allowance و view_single_deduction، سیستم پیش از بارگذاری رکوردها، احراز مالکیت کاربر بر روی داده‌های درخواستی را به‌طور کامل بررسی نمی‌کند.
تاثیرات امنیتی
یک کاربر با دسترسی سطح کارمند (Authenticated Employee) می‌تواند با تغییر شناسه‌هایی نظیر emp_id، allowance_id یا deduction_id، به اطلاعات حساس سایر کارکنان دسترسی پیدا کند. این اطلاعات شامل موارد زیر است:
- ساختار حقوق و دستمزد سایر کارکنان
- مبالغ مربوط به کمک‌هزینه‌ها و کسورات
- جزئیات پرداخت وام‌های شخصی و جداول بازپرداخت
