CVE-2022-26594

ŚrednieCVSS 6.1

Opublikowano: 15/04/2022(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.70%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

W Liferay Portal 7.3.5 do 7.4.0 oraz Liferay DXP 7.3 przed service pack 3 znaleziono podatności na ataki XSS. Atakujący może wstrzyknąć dowolny skrypt lub HTML przez pole pomocy formularza w module Forms lub App Builder.

Ocena ryzyka

Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, defacementu lub kradzieży danych.

Rekomendacja

Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.1 lub nowszej, a Liferay DXP 7.3 do service pack 3 lub nowszego.

Oryginalny opis (angielski, źródło NVD)

Multiple cross-site scripting (XSS) vulnerabilities in Liferay Portal 7.3.5 through 7.4.0, and Liferay DXP 7.3 before service pack 3 allow remote attackers to inject arbitrary web script or HTML via a form field's help text to (1) Forms module's form builder, or (2) App Builder module's object form view's form builder.