CVE-2021-29044
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w module Site w Liferay Portal 7.0.0-7.3.5 oraz Liferay DXP 7.0-7.3 pozwala zdalnemu atakującemu na wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr comments w żądaniach członkostwa.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.6 lub nowszej, a dla Liferay DXP zastosowanie odpowiedniego fix packa (7.0 FP97, 7.1 FP21, 7.2 FP10, 7.3 FP1).
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Site module's membership request administration pages in Liferay Portal 7.0.0 through 7.3.5, and Liferay DXP 7.0 before fix pack 97, 7.1 before fix pack 21, 7.2 before fix pack 10 and 7.3 before fix pack 1 allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_site_my_sites_web_portlet_MySitesPortlet_comments parameter.