CVE-2021-29046
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność na skrypty między witrynami (XSS) w polu wyboru kategorii modułu Asset w Liferay Portal 7.3.5 i Liferay DXP 7.3 przed fix pack 1. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title.
Ocena ryzyka
Ryzyko kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.6 lub nowszej, a Liferay DXP 7.3 do wersji z fix pack 1 lub wyższej. Należy również rozważyć zastosowanie filtrów wejściowych i kodowania wyjścia dla parametrów URL.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Asset module's category selector input field in Liferay Portal 7.3.5 and Liferay DXP 7.3 before fix pack 1, allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title parameter.