CVE-2021-29051
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w aplikacji Asset Publisher modułu Asset w Liferay Portal 7.2.1 do 7.3.5 oraz Liferay DXP 7.1 przed fix pack 21, 7.2 przed fix pack 10 i 7.3 przed fix pack 1. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr assetEntryId.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście przeglądarki ofiary, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.6 lub nowszej, a dla Liferay DXP zastosowanie odpowiednich fix packów: 7.1 FP21, 7.2 FP10 lub 7.3 FP1.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Asset module's Asset Publisher app in Liferay Portal 7.2.1 through 7.3.5, and Liferay DXP 7.1 before fix pack 21, 7.2 before fix pack 10 and 7.3 before fix pack 1 allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_XXXXXXXXXXXX_assetEntryId parameter.