CVE-2022-39975
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Moduł Layout w Liferay Portal v7.3.3 do v7.4.3.34 oraz Liferay DXP 7.3 przed aktualizacją 10 i 7.4 przed aktualizacją 35 nie sprawdza uprawnień użytkownika przed wyświetleniem podglądu strony typu "Content Page", co pozwala atakującym na przeglądanie nieopublikowanych stron poprzez manipulację URL.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych treści, które mogą być dostępne dla nieautoryzowanych użytkowników, co może prowadzić do naruszenia poufności danych i utraty reputacji.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay Portal do wersji 7.4.3.35 lub nowszej, a w przypadku Liferay DXP zastosować aktualizację 10 dla wersji 7.3 lub aktualizację 35 dla wersji 7.4.
Oryginalny opis (angielski, źródło NVD)
The Layout module in Liferay Portal v7.3.3 through v7.4.3.34, and Liferay DXP 7.3 before update 10, and 7.4 before update 35 does not check user permission before showing the preview of a "Content Page" type page, allowing attackers to view unpublished "Content Page" pages via URL manipulation.