一、 漏洞 CVE-2025-66224 基础信息
漏洞信息
# OrangeHRM Sendmail 参数注入代码执行漏洞
## 概述
OrangeHRM 是一个综合人力资源管理系统。在版本 5.0 至 5.7 中，其邮件配置与发送流程中存在输入中和不足的问题，导致用户控制的值可直接流入系统的 `sendmail` 命令中。
## 影响版本
- 受影响版本：5.0 至 5.7
- 修复版本：5.8（已修补）
## 细节
漏洞源于邮件发送逻辑中构造操作系统命令时未对输入进行充分过滤或规范化处理。这使得某些 `sendmail` 行为在邮件处理过程中可能被意外触发。
## 影响
在特定部署条件下，这些异常行为可能导致应用在服务器上写入文件。若写入位置可通过 Web 访问，则攻击者可能利用该漏洞执行恶意代码，从而实现远程代码执行。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
OrangeHRM is Vulnerable to Code Execution Through Arbitrary File Write from Sendmail Parameter Injection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
OrangeHRM is a comprehensive human resource management (HRM) system. From version 5.0 to 5.7, the application contains an input-neutralization flaw in its mail configuration and delivery workflow that allows user-controlled values to flow directly into the system’s sendmail command. Because these values are not sanitized or constrained before being incorporated into the command execution path, certain sendmail behaviors can be unintentionally invoked during email processing. This makes it possible for the application to write files on the server as part of the mail-handling routine, and in deployments where those files end up in web-accessible locations, the behavior can be leveraged to achieve execution of attacker-controlled content. The issue stems entirely from constructing OS-level command strings using unsanitized input within the mail-sending logic. This issue has been patched in version 5.8.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
OrangeHRM 代码注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
OrangeHRM是美国OrangeHRM公司的一套人力资源管理系统（HRM）。该系统支持人事信息管理、休假管理、考勤管理和招聘管理等功能。 OrangeHRM 5.0版本至5.7版本存在代码注入漏洞，该漏洞源于邮件配置输入处理不当，可能导致文件写入和代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-66224 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | None | https://github.com/richard-natan/PoC-CVE-2025-66224 | POC详情 |
三、漏洞 CVE-2025-66224 的情报信息
标题： Code Execution Through Arbitrary File Write from Sendmail Parameter Injection · Advisory · orangehrm/orangehrm · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：# 关键漏洞信息 **标题**: Code Execution Through Arbitrary File Write from Sendmail Parameter Injection **严重性**: Critical (9.0/10) **CVE ID**: CVE-2025-66224 ## 影响版本 - >=5.0, <=5.7 ## 修复版本 - 5.8 ## 描述 该应用程序在其邮件配置和传递工作流程中存在输入中和化缺陷，允许用户控制的值直接流入系统的sendmail命令。由于这些值在被纳入命令执行路径之前没有进行清理或限制，某些sendmail行为可能在邮件处理期间被不经意地调用。这使得应用程序可以在邮件处理例程的一部分期间在服务器上写入文件，并且在这些文件最终位于网络可访问位置的部署中，该行为可以被利用以实现攻击者控制的内容的执行。问题完全来自于邮件发送逻辑中使用未经清理的输入构建操作系统级命令字符串。 ## CVSS v4.0 base metrics - **Attack Vector**: 网络 - **Attack Complexity**: 低 - **Attack Requirements**: 存在 - **Privileges Required**: 低 - **User Interaction**: 无 - **Confidentiality**: 高 - **Integrity**: 高 - **Availability**: 高 ## 无弱点分类(CWE)
- https://nvd.nist.gov/vuln/detail/CVE-2025-66224
四、漏洞 CVE-2025-66224 的评论
暂无评论