CVE-2021-38269
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w module Gogo Shell w Liferay Portal 7.1.0-7.3.6 i 7.4.0 oraz Liferay DXP 7.1-7.3 przed odpowiednimi poprawkami. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez wynik polecenia Gogo Shell.
Ocena ryzyka
Ryzyko kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary. Atak może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.7 lub nowszej, a dla DXP zastosowanie odpowiednich poprawek (fix pack 23 dla 7.1, fix pack 13 dla 7.2, fix pack 2 dla 7.3).
Inne podatności w Liferay Portal
Zobacz wszystkie- CVE-2010-5327Wysokie
Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.
- CVE-2022-42122Krytyczne
Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.
- CVE-2022-42120Krytyczne
Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.
- CVE-2020-7961KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Liferay Portal przed wersją 7.2.1 CE GA2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez usługi sieciowe JSON (JSONWS).
- CVE-2022-42132Średnie
W Liferay Portal i DXP funkcja testowania użytkowników LDAP ujawnia poświadczenia LDAP w adresie URL strony podczas przeglądania listy użytkowników. Atakujący typu man-in-the-middle lub mający dostęp do logów żądań mogą przechwycić te dane.
- CVE-2022-42131Średnie
W produktach Liferay wykryto brak walidacji certyfikatów SSL w modułach REST dostawców danych Dynamic Data Mapping. Podatność dotyczy Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 17 i 7.3 przed service pack 3.
- CVE-2022-42130Średnie
Moduł Dynamic Data Mapping w Liferay Portal 7.1.0 do 7.4.3.4 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 19, 7.3 przed update 4 i 7.4 GA nieprawidłowo sprawdza uprawnienia do wpisów formularzy, co pozwala zdalnym uwierzytelnionym użytkownikom na przeglądanie i dostęp do wszystkich wpisów formularzy.
- CVE-2022-42129Średnie
Podatność IDOR w module Dynamic Data Mapping w Liferay Portal 7.3.2 do 7.4.3.4 oraz Liferay DXP 7.3 przed updatem 4 i 7.4 GA umożliwia zdalnie uwierzytelnionym użytkownikom podgląd i dostęp do wpisów formularzy poprzez parametr `formInstanceRecordId`.
- CVE-2022-42128Średnie
Moduł Hypermedia REST APIs w Liferay Portal 7.4.1 do 7.4.3.4 oraz Liferay DXP 7.4 GA nieprawidłowo sprawdza uprawnienia, co umożliwia zdalnym atakującym uzyskanie obiektu WikiNode przez API WikiNodeResource.getSiteWikiNodeByExternalReferenceCode.
- CVE-2022-42127Średnie
Moduł Friendly Url w Liferay Portal 7.4.3.5 do 7.4.3.36 oraz Liferay DXP 7.4 update 1 do 36 nieprawidłowo sprawdza uprawnienia użytkownika, co pozwala zdalnym atakującym na uzyskanie historii wszystkich przyjaznych URL-i przypisanych do strony.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Gogo Shell module in Liferay Portal 7.1.0 through 7.3.6 and 7.4.0, and Liferay DXP 7.1 before fix pack 23, 7.2 before fix pack 13, and 7.3 before fix pack 2 allows remote attackers to inject arbitrary web script or HTML via the output of a Gogo Shell command.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS