CVE-2022-26593
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w selektorze kategorii zasobów modułu Asset w Liferay Portal 7.3.3 do 7.4.0 oraz Liferay DXP 7.3 przed Service Pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę kategorii zasobu.
Ocena ryzyka
Ryzyko kradzieży sesji użytkowników, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj Liferay Portal do wersji 7.4.1 lub nowszej, a Liferay DXP 7.3 do Service Pack 3 lub nowszego.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Asset module's asset categories selector in Liferay Portal 7.3.3 through 7.4.0, and Liferay DXP 7.3 before service pack 3 allows remote attackers to inject arbitrary web script or HTML via the name of a asset category.