CVE-2022-28980
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Liferay Portal w wersji 7.4.3.4 oraz Liferay DXP w wersji 7.4 GA wykryto wiele podatności na ataki typu cross-site scripting (XSS). Umożliwiają one atakującym wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez parametry z prefiksem "filter_".
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przejęcia kont administratorów lub rozpowszechniania złośliwego kodu w organizacji, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji nowszej niż 7.4.3.4 oraz Liferay DXP do wersji nowszej niż 7.4 GA, a także wdrożenie filtrowania danych wejściowych dla parametrów z prefiksem "filter_".
Oryginalny opis (angielski, źródło NVD)
Multiple cross-site scripting (XSS) vulnerabilities in Liferay Portal v7.4.3.4 and Liferay DXP v7.4 GA allows attackers to execute arbitrary web scripts or HTML via parameters with the filter_ prefix.