CVE-2022-26595
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Liferay Portal 7.3.7, 7.4.0 i 7.4.1 oraz Liferay DXP 7.2 fix pack 13 i 7.3 fix pack 2 nieprawidłowo sprawdzają uprawnienia użytkownika podczas dostępu do listy witryn/grup. Umożliwia to zdalnym uwierzytelnionym użytkownikom podgląd witryn/grup za pomocą interfejsu przypisywania członkostwa w witrynie.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do informacji o witrynach i grupach, co może prowadzić do wycieku danych wrażliwych lub naruszenia poufności.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.2 lub nowszej oraz Liferay DXP do odpowiedniego pakietu fix pack zawierającego poprawkę.
Oryginalny opis (angielski, źródło NVD)
Liferay Portal 7.3.7, 7.4.0, and 7.4.1, and Liferay DXP 7.2 fix pack 13, and 7.3 fix pack 2 does not properly check user permission when accessing a list of sites/groups, which allows remote authenticated users to view sites/groups via the user's site membership assignment UI.