OrangeHRM版本之前的版本2.2.2中的lib/controllers/RepViewController.php的reDirect函数不能确认用户特权,远程攻击者可以借助未明向量获得对数据的访问权。