CVE-2022-38902
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W module Blog w Liferay Digital Experience Platform 7.3.10 SP3 wykryto podatność na atak XSS. Umożliwia ona zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML w pole nazwy nowego tematu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży sesji użytkowników, przekierowania na złośliwe strony lub wykradzenia danych wrażliwych, co zagraża poufności i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay Digital Experience Platform do wersji zawierającej poprawkę lub zastosować dostępne łatki bezpieczeństwa. Dodatkowo warto wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla pól formularzy.
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in the Blog module - add new topic functionality in Liferay Digital Experience Platform 7.3.10 SP3 allows remote attackers to inject arbitrary JS script or HTML into the name field of newly created topic.