یک آسیب‌پذیری امنیتی در نرم‌افزار مدیریت منابع انسانی Omega Solution HRM OS (نسخه‌های تا 20260717) شناسایی شده است که به دلیل کنترل نادرست شناسه‌های منابع (Improper Control of Resource Identifiers) رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که تحت شناسه CVE-2026-94149 ثبت شده است، در Endpoint مربوط به بازیابی مجوزهای نقش (Role Permission Retrieval) و به‌طور مشخص در فایل /role-permission/permission قرار دارد. مهاجم می‌تواند با دستکاری پارامتر roleId، به گونه‌ای که در حملات IDOR (Insecure Direct Object Reference) رایج است، اطلاعات مربوط به نقش‌های دیگر را استخراج کند.
تحلیل سطح دسترسی و تاثیرات
- پیش‌نیاز: مهاجم باید دارای یک حساب کاربری با سطح دسترسی پایین (Low-privilege account) باشد.
- نوع دسترسی: حمله به‌صورت از راه دور (Remote) قابل اجرا است.
- تاثیرات: این آسیب‌پذیری تنها بر محرمانگی (Confidentiality) تاثیر می‌گذارد و اجازه می‌دهد متادیتای نقش‌ها و نقشه‌برداری مجوزها (Permission Mappings) خوانده شود.
- محدودیت‌ها: هیچ تاثیری بر یکپارچگی (Integrity) یا در دسترس بودن (Availability) سیستم ندارد و امکان اجرای کد (RCE) یا تغییر داده‌ها را فراهم نمی‌کند.
ارزیابی ریسک
بر اساس استاندارد CVSS v4.0، امتیاز پایه این آسیب‌پذیری 2.1 ارزیابی شده است. با این حال، اکسپلویت (Exploit) این نقص به‌صورت عمومی منتشر شده است. گزارش‌ها حاکی از آن است که سازنده نرم‌افزار تا این لحظه پاسخی به گزارش‌های مربوط به این افشای امنیتی نداده است.
این ضعف امنیتی در دسته‌بندی CWE-99 قرار می‌گیرد که مربوط به کنترل نادرست شناسه‌های منابع یا Resource Injection است.
