یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94151 در نرم‌افزار مدیریت منابع انسانی Omega Solution HRM OS (نسخه‌های تا 20260717) شناسایی شده است. این نقص امنیتی مربوط به نبود بررسی‌های احراز هویت در یکی از توابع API است که می‌تواند منجر به افشای اطلاعات حساس شود.
تحلیل فنی آسیب‌پذیری
این ضعف امنیتی در کامپوننت Role Permission API و به‌طور مشخص در مسیر /role-permission/permission رخ داده است. مهاجمان می‌توانند با دستکاری آرگومان roleId، مکانیزم‌های احراز هویت را دور زده و بدون نیاز به داشتن Session یا هرگونه Credential معتبر، به داده‌های مربوط به دسترسی‌های نقش‌ها (Role-Permission Data) دسترسی پیدا کنند.
جزئیات عملیاتی
- نوع ضعف: Missing Authentication for Critical Function (CWE-306)
- بردار حمله: حمله به‌صورت Remote و بدون نیاز به احراز هویت (Unauthenticated) قابل اجرا است.
- تاثیرات: با توجه به اینکه داده‌های قابل استخراج تنها محدود به مجوزهای نقش‌ها است، شدت تاثیر بر محرمانگی (Confidentiality) در سطح Low ارزیابی شده و تاثیر بر یکپارچگی (Integrity) و در دسترس بودن (Availability) ناچیز است.
در حال حاضر، کد اکسپلویت (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده است که ریسک حملات فعال را افزایش می‌دهد. گزارش‌ها حاکی از آن است که سازنده نرم‌افزار تا این لحظه پاسخی به گزارش‌های مربوط به این نقص امنیتی نداده است.
