CVE-2021-38269
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w module Gogo Shell w Liferay Portal 7.1.0-7.3.6 i 7.4.0 oraz Liferay DXP 7.1-7.3 przed odpowiednimi poprawkami. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez wynik polecenia Gogo Shell.
Ocena ryzyka
Ryzyko kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary. Atak może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.7 lub nowszej, a dla DXP zastosowanie odpowiednich poprawek (fix pack 23 dla 7.1, fix pack 13 dla 7.2, fix pack 2 dla 7.3).
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Gogo Shell module in Liferay Portal 7.1.0 through 7.3.6 and 7.4.0, and Liferay DXP 7.1 before fix pack 23, 7.2 before fix pack 13, and 7.3 before fix pack 2 allows remote attackers to inject arbitrary web script or HTML via the output of a Gogo Shell command.