FICHE CVE

CVE-2026-39349

Publiée le 2026-04-07 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions 5.0 à 5.8 d'OrangeHRM Open Source utilisent une méthode de chiffrement faible (AES-ECB) qui peut permettre à un attaquant d'identifier des schémas dans les données sensibles chiffrées. Pour exploiter cette faille, un attaquant aurait besoin de privilèges administratifs de haut niveau et d'un accès réseau à la base de données, bien que le processus soit techniquement difficile. Cela entraîne principalement une fuite partielle des informations stockées plutôt qu'une compromission complète du système.

CVSS 4.02.1 FAIBLE

Type de faiblesse

CWE-326

Publiée2026-04-07

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

OrangeHRM is a comprehensive human resource management (HRM) system. From 5.0 to 5.8, OrangeHRM Open Source encrypts certain sensitive fields with AES in ECB mode, which preserves block-aligned plaintext patterns in ciphertext and enables pattern disclosure against stored data. This vulnerability is fixed in 5.8.1.