CVE-2022-42120
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, wyciek poufnych danych oraz potencjalne przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.17 lub nowszej, a Liferay DXP do wersji 7.3 update 4 lub 7.4 update 17.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in the Fragment module in Liferay Portal 7.3.3 through 7.4.3.16, and Liferay DXP 7.3 before update 4, and 7.4 before update 17 allows attackers to execute arbitrary SQL commands via a PortletPreferences' `namespace` attribute.