CVE-2022-26596
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność na skrypty między witrynami (XSS) w module Journal w Liferay Portal 7.1.0–7.3.3 oraz Liferay DXP 7.0 przed fix pack 94, 7.1 przed fix pack 19 i 7.2 przed fix pack 8. Atakujący zdalnie może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwy szablonów treści internetowych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowań do złośliwych stron lub kradzieży danych wrażliwych w organizacji wykorzystującej podatne wersje Liferay.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.4 lub nowszej, a dla Liferay DXP zastosowanie odpowiednich fix packów: 94 dla 7.0, 19 dla 7.1 lub 8 dla 7.2.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in Journal module's web content display configuration page in Liferay Portal 7.1.0 through 7.3.3, and Liferay DXP 7.0 before fix pack 94, 7.1 before fix pack 19, and 7.2 before fix pack 8, allows remote attackers to inject arbitrary web script or HTML via web content template names.