CVE-2022-42112
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w widżecie Sortowania modułu Portal Search w Liferay Portal 7.2.0 do 7.4.3.24 oraz Liferay DXP 7.2 przed fix pack 19, 7.3 przed update 5 i DXP 7.4 przed update 25. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML za pomocą spreparowanego ładunku.
Ocena ryzyka
Ryzyko kradzieży sesji użytkowników, przejęcia kont administratorów lub rozpowszechniania złośliwego kodu w organizacji poprzez wykorzystanie podatności XSS w portalu firmowym.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.25 lub nowszej, a dla DXP zastosowanie odpowiedniego fix packa lub update'u (DXP 7.2 fix pack 19, DXP 7.3 update 5, DXP 7.4 update 25).
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in the Portal Search module's Sort widget in Liferay Portal 7.2.0 through 7.4.3.24, and Liferay DXP 7.2 before fix pack 19, 7.3 before update 5, and DXP 7.4 before update 25 allows remote attackers to inject arbitrary web script or HTML via a crafted payload.