CVE-2022-38901
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W module Dokumenty i Multimedia platformy Liferay Digital Experience Platform 7.3.10 SP3 wykryto podatność na atak XSS. Umożliwia ona zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML do opisu przesyłanego pliku SVG.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży sesji użytkowników, przekierowania na złośliwe strony lub wykonania innych działań w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay Digital Experience Platform do wersji zawierającej poprawkę lub zastosować dostępne łatki bezpieczeństwa. Dodatkowo warto wdrożyć filtrowanie i sanityzację danych wejściowych dla pól opisu plików.
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in the Document and Media module - file upload functionality in Liferay Digital Experience Platform 7.3.10 SP3 allows remote attackers to inject arbitrary JS script or HTML into the description field of uploaded svg file.