CVE-2021-38268
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Moduł Dynamic Data Mapping w Liferay Portal 7.0.0 do 7.3.6 oraz Liferay DXP 7.0 do fix pack 101, 7.1 do fix pack 21, 7.2 do fix pack 10 i 7.3 do fix pack 2 nieprawidłowo ustawia domyślne uprawnienia dla członków witryny. Pozwala to zdalnie uwierzytelnionym użytkownikom z rolą członka witryny na dodawanie i duplikowanie formularzy przez interfejs użytkownika lub API.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane tworzenie i powielanie formularzy przez użytkowników, którzy powinni mieć ograniczone uprawnienia, co może prowadzić do naruszenia integralności danych i niekontrolowanego rozrostu treści.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay Portal do wersji 7.3.7 lub nowszej, a w przypadku Liferay DXP zastosować odpowiednie fix packi: 7.0 FP101, 7.1 FP21, 7.2 FP10 lub 7.3 FP2.
Oryginalny opis (angielski, źródło NVD)
The Dynamic Data Mapping module in Liferay Portal 7.0.0 through 7.3.6, and Liferay DXP 7.0 before fix pack 101, 7.1 before fix pack 21, 7.2 before fix pack 10 and 7.3 before fix pack 2 incorrectly sets default permissions for site members, which allows remote authenticated users with the site member role to add and duplicate forms, via the UI or the API.