CVE-2021-38264
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność na skrypty między witrynami (XSS) w module Frontend Taglib w Liferay Portal 7.4.0 i 7.4.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML do paska wyszukiwania w panelu zarządzania poprzez parametr `keywords`. Problem wynika z niekompletnej poprawki dla CVE-2021-35463.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Liferay Portal do wersji 7.4.2 lub nowszej, która zawiera kompletną poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Frontend Taglib module in Liferay Portal 7.4.0 and 7.4.1 allows remote attackers to inject arbitrary web script or HTML into the management toolbar search via the `keywords` parameter. This issue is caused by an incomplete fix in CVE-2021-35463.