漏洞概述
Horilla 是一款免费开源的人力资源管理系统（HRMS）。在版本 1.4.0 至 1.5.0 之前，系统存在一个不正确的访问控制漏洞（Improper Access Control），允许任何已认证的员工在未经授权的情况下，以其他员工的身份上传文档。该漏洞源于文件上传操作中对 employee_id 参数缺乏充分的服务端验证。官方已在 1.5.0 版本中修复此问题。
漏洞详情
- CVE 编号：CVE-2026-24035
- 漏洞类型：CWE-284（不正确的访问控制）
- CVSS 评分：4.3（MEDIUM）
- 影响版本：Horilla HRMS 1.4.0 至 1.5.0 之前版本
影响范围
所有使用 Horilla HRMS 1.4.0 至 1.5.0 之前版本的部署环境均受此漏洞影响。任何已通过身份验证的普通员工账户均可利用该漏洞，向系统中任意员工名下上传文件。
风险分析
攻击者可利用该漏洞绕过权限限制，以其他员工身份上传恶意或伪造文档，可能导致数据污染、内部信息混淆或为后续社会工程攻击提供便利。虽然该漏洞不直接导致远程代码执行或敏感信息泄露，但其完整性影响（Integrity Impact）可能对 HR 系统的可信度和合规性造成实质性损害。
修复建议
- 立即升级 Horilla HRMS 至 1.5.0 或更高版本，该版本已修复此漏洞。
- 若暂时无法升级，建议在应用层面对文件上传接口增加 employee_id 与当前用户身份的绑定校验，确保用户仅能操作自身数据。
