ЗАГОЛОВНИК

В HR-платформе Omega Solution HRM OS выявлена уязвимость, позволяющая манипулировать идентификаторами ресурсов при обращении к эндпоинту получения прав роли. Проблема затрагивает обработку параметра roleId и относится к классу «неправильный контроль идентификаторов ресурсов» (CWE-99, resource injection). Уязвимости присвоен идентификатор CVE-2026-94149.

Подробности

Уязвимость присутствует в Omega Solution HRM OS вплоть до версии 20260717. Затронута неизвестная функция файла /role-permission/permission, относящегося к компоненту Role Permission Retrieval Endpoint. При подстановке специально сформированного значения в аргумент roleId злоумышленник получает возможность влиять на выбор ресурса, к которому адресуется запрос, что приводит к неправильному контролю идентификаторов ресурсов. Атака может быть проведена удалённо, без необходимости физического доступа к системе или аутентификации на уровне периметра, если эндпоинт доступен извне. Уязвимости присвоена базовая оценка CVSS 5.3 (MEDIUM) — это умеренный уровень риска, который, однако, существенно возрастает при наличии публичного эксплойта. Эксплойт находится в открытом доступе, что повышает вероятность его практического применения, в том числе в автоматизированных сканированиях и массовых атаках. Производитель был уведомлён об уязвимости на раннем этапе раскрытия, но не дал ответа, поэтому официальное исправление на момент публикации записи CVE отсутствует.

Что делать

Поскольку патч от вендора не выпущен, организациям, использующим HRM OS, следует применить компенсирующие меры:

• Ограничить сетевой доступ к эндпоинту /role-permission/permission — не выставлять его в публичный интернет, использовать VPN или внутренний сегмент сети.
• Внедрить строгую валидацию и нормализацию параметра roleId на уровне WAF или обратного прокси: отклонять значения, выходящие за пределы ожидаемого формата (например, целочисленного идентификатора).
• Применить принцип наименьших привилегий к учётным записям, имеющим доступ к эндпоинту, и включить журналирование всех обращений к нему для последующего аудита.
• Провести проверку журналов на предмет подозрительных запросов к /role-permission/permission за прошлые периоды.
• Отслеживать обновления от Omega Solution и установить официальный патч сразу после его выпуска.

Итог: CVE-2026-94149 — умеренная по оценке CVSS, но опасная на практике уязвимость из-за наличия публичного эксплойта и отсутствия ответа вендора. До выпуска исправления ключевая защита строится на сетевой изоляции эндпоинта и фильтрации входных параметров.

Источник: CVE Project (cvelistV5)