در نرم‌افزار Horilla که یک سیستم مدیریت منابع انسانی (HR) و مدیریت ارتباط با مشتری (CRM) است، یک آسیب‌پذیری امنیتی شناسایی شده است که می‌تواند منجر به اجرای کدهای مخرب در مرورگر کاربران شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-71483 ثبت شده، در نسخه‌های پیش از 1.6.0 وجود دارد. مشکل در پارامتر جستجو در مسیر /employee/employee-filter-view ریشه دارد؛ جایی که ورودی کاربر توسط متد .html() در کتابخانه jQuery در فایل employee/templates/employee_nav.html بدون هیچ‌گونه پاک‌سازی یا خنثی‌سازی (Neutralization) نمایش داده می‌شود.
تاثیر و ریسک عملیاتی
یک عامل تهدید (Threat Actor) می‌تواند با طراحی یک لینک مخرب و ارسال آن برای کاربران، باعث اجرای JavaScript در مرورگر یک کارمند یا مدیر سیستم شود. در صورتی که کاربر قربانی در سیستم احراز هویت شده باشد، مهاجم می‌تواند به موارد زیر دست یابد:
- دسترسی به داده‌های نشست (Session Data) قابل مشاهده در مرورگر.
- انجام عملیات در محیط نرم‌افزار با سطح دسترسی و امتیازات کاربر قربانی.
راهکار رفع مشکل
توسعه‌دهندگان این نرم‌افزار در نسخه 1.6.0 این مشکل را برطرف کرده‌اند. به مدیران SOC و مهندسان امنیت توصیه می‌شود هرچه سریع‌تر تمامی نمونه‌های نصب شده از این نرم‌افزار را به آخرین نسخه به‌روزرسانی کنند تا از حملات احتمالی Cross-Site Scripting (XSS) جلوگیری شود.
