CVE-2026-24036— Horilla 访问控制错误漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-24036の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Horilla Exposes Unpublished Job Disclosures through Unauthenticated API
ソース: NVD (National Vulnerability Database)
脆弱性説明
Horilla is a free and open source Human Resource Management System (HRMS). Versions 1.4.0 and above expose unpublished job postings through the /recruitment/recruitment-details// endpoint without authentication. The response includes draft job titles, descriptions and application link allowing unauthenticated users to view unpublished roles and access the application workflow for unpublished jobs. Unauthorized access to unpublished job posts can leak sensitive internal hiring information and cause confusion among candidates. This issue has been fixed in version 1.5.0.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
访问控制不恰当
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
Horilla 访问控制错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Horilla是Horilla公司的一款免费的开源人力资源软件。 Horilla 1.4.0及之后版本存在访问控制错误漏洞，该漏洞源于未经验证即可访问未发布的招聘信息，可能导致敏感内部招聘信息泄露。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| horilla-opensource | horilla | >= 1.4.0, < 1.5.0 | - |
II. CVE-2026-24036の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-24036のインテリジェンス情報
请登录查看更多情报信息。
Same Patch Batch · horilla-opensource · 2026-01-22 · 7 CVEs total
| CVE-2026-24038 | 8.1 HIGH | Horilla HR has 2FA Bypass through its OTP Handling Logic |
| CVE-2026-24034 | 5.4 MEDIUM | Horilla has File Upload XSS |
| CVE-2026-24037 | 4.8 MEDIUM | Horilla HRM has XSS Bypass through Project Name |
| CVE-2026-24035 | 4.3 MEDIUM | Horilla has Improper Access Control Issue that Allows Unauthorized Document Upload on Beha |
| CVE-2026-24039 | 4.3 MEDIUM | Horilla's Improper Access Control Allows Employees to Auto-Approve Documents |
| CVE-2026-24010 | Horilla has HTML Injection Issue that, with Phishing, Leads to Account Takeover |
IV. 関連脆弱性
同じ製品: horilla
- CVE-2026-40867
Horilla: Unauthorized Helpdesk Attachment Access via Attachm - CVE-2026-40866
Horilla: Unauthorized Document Overwrite via File Upload End - CVE-2026-40865
Horilla: Insecure Direct Object Reference at `/employee/view - CVE-2026-3050
horilla-opensource horilla Leads global.js cross site script - CVE-2026-3049
horilla-opensource horilla Query Parameter global_search.py
同じベンダー: horilla-opensource
- CVE-2026-40867
Horilla: Unauthorized Helpdesk Attachment Access via Attachm - CVE-2026-40866
Horilla: Unauthorized Document Overwrite via File Upload End - CVE-2026-40865
Horilla: Insecure Direct Object Reference at `/employee/view - CVE-2026-3050
horilla-opensource horilla Leads global.js cross site script - CVE-2026-3049
horilla-opensource horilla Query Parameter global_search.py
同じ弱点: CWE-284
- CVE-2026-8233
Dotouch XproUPF access control - CVE-2026-42569
phpvms: /importer authorization bypass causing full database - CVE-2026-42205
Avo: Broken Access Control: Unauthorized Execution of Arbitr - CVE-2026-41487
Langfuse: Improper role-based-access control in Langfuse LLM - CVE-2026-42278
UltraDAG: Smart Account Spending Policy Bypass via Pockets
V. CVE-2026-24036へのコメント
まだコメントはありません