Horillaは無料でオープンソースの人事管理システム（HRMS）です。バージョン1.5.0より前のバージョンには重要なファイルアップロードの脆弱性が存在し、ソーシャルエンジニアリングと組み合わせることで、認証済みユーザーがフィッシング攻撃を仕掛けることが可能でした。攻撃者はプロフィール画像に見せかけた悪意のあるHTMLファイルをアップロードすることで、本物そっくりのログインページを偽造し、ユーザーの認証情報を盗み取ります。被害者がアップロードされたファイルのURLにアクセスすると、正規の「セッション切れ」メッセージが表示されて再認証を促されます。入力された認証情報はすべて捕捉されて攻撃者のサーバーに送信されるため、アカウントの乗っ取りが可能になります。バージョン1.5.0でこの問題は修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。