CVE-2022-28979
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Liferay Portal w wersjach od 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 zawiera podatność na cross-site scripting (XSS) w widżecie Custom Facet modułu Portal Search. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez pole tekstowe Custom Parameter Name.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych wrażliwych w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3 lub nowszej, a dla Liferay DXP zastosowanie odpowiednich poprawek: fix pack 26 dla 7.1, fix pack 15 dla 7.2 lub service pack 3 dla 7.3.
Oryginalny opis (angielski, źródło NVD)
Liferay Portal v7.1.0 through v7.4.2 and Liferay DXP 7.1 before fix pack 26, 7.2 before fix pack 15, and 7.3 before service pack 3 was discovered to contain a cross-site scripting (XSS) vulnerability in the Portal Search module's Custom Facet widget. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Custom Parameter Name text field.