CVE-2022-42116
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w module Frontend Editor integrującym się z CKEditor w Liferay Portal 7.3.2 do 7.4.3.14 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 15. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametry name lub namespace.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowań do złośliwych stron lub modyfikacji treści w kontekście aplikacji, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.15 lub nowszej, a dla Liferay DXP zastosowanie odpowiednich poprawek (update 6 dla wersji 7.3, update 15 dla wersji 7.4).
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in the Frontend Editor module's integration with CKEditor in Liferay Portal 7.3.2 through 7.4.3.14, and Liferay DXP 7.3 before update 6, and 7.4 before update 15 allows remote attackers to inject arbitrary web script or HTML via the (1) name, or (2) namespace parameter.