CVE-2022-38512
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W module tłumaczeń Liferay Portal w wersjach 7.4.3.12 do 7.4.3.36 oraz Liferay DXP 7.4 update 8 do 36 brakuje sprawdzania uprawnień przed umożliwieniem użytkownikowi eksportu treści strony do tłumaczenia. Umożliwia to atakującym pobranie pliku XLIFF z tłumaczeniem strony poprzez spreparowany URL.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do treści strony, które mogą zawierać poufne informacje, oraz na możliwości wycieku danych przez pobranie plików tłumaczeniowych.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.37 lub nowszej, a Liferay DXP 7.4 do update 37 lub nowszej, oraz wdrożenie kontroli dostępu do modułu tłumaczeń.
Oryginalny opis (angielski, źródło NVD)
The Translation module in Liferay Portal v7.4.3.12 through v7.4.3.36, and Liferay DXP 7.4 update 8 through 36 does not check permissions before allowing a user to export a web content for translation, allowing attackers to download a web content page's XLIFF translation file via crafted URL.