Description
A vulnerability was found in HJSoft HCM Human Resources Management System up to 20250822. Affected by this vulnerability is an unknown functionality of the file /templates/attestation/../../selfservice/lawresource/downlawbase. Performing manipulation of the argument ID results in sql injection. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Eine Schwachstelle wurde in HJSoft HCM Human Resources Management System bis 20250822 gefunden. Es geht um eine nicht näher bekannte Funktion der Datei /templates/attestation/../../selfservice/lawresource/downlawbase. Durch Manipulation des Arguments ID mit unbekannten Daten kann eine sql injection-Schwachstelle ausgenutzt werden. Der Angriff kann über das Netzwerk angegangen werden. Der Exploit wurde der Öffentlichkeit bekannt gemacht und könnte verwendet werden.
Problem types
Product status
Timeline
| 2025-09-09: | Advisory disclosed |
| 2025-09-09: | VulDB entry created |
| 2025-09-09: | VulDB entry last update |
Credits
MHKD (VulDB User)
References
vuldb.com/?id.323236 (VDB-323236 | HJSoft HCM Human Resources Management System downlawbase sql injection)
vuldb.com/?ctiid.323236 (VDB-323236 | CTI Indicators (IOB, IOC, TTP, IOA))
vuldb.com/?submit.639745 (Submit #639745 | 北京宏景世纪软件股份有限公司 宏景HCM人力资源管理系统 未知 Use of Java I/O)
github.com/...统downlawbase接口存在SQL注入漏洞.md
