CVE-2021-29052
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Moduł Data Engine w Liferay Portal 7.3.0 do 7.3.5 oraz Liferay DXP 7.3 przed fix pack 1 nie sprawdza uprawnień w metodzie DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, co pozwala zdalnie uwierzytelnionym użytkownikom na przeglądanie struktur DDM poprzez wywołania API GET.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych struktur danych (DDMStructures), co może prowadzić do wycieku informacji biznesowych lub naruszenia poufności danych.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay Portal do wersji 7.3.6 lub nowszej, a w przypadku Liferay DXP zastosować fix pack 1 lub nowszy.
Oryginalny opis (angielski, źródło NVD)
The Data Engine module in Liferay Portal 7.3.0 through 7.3.5, and Liferay DXP 7.3 before fix pack 1 does not check permissions in DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, which allows remote authenticated users to view DDMStructures via GET API calls.