CVE-2022-42122
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.
Ocena ryzyka
Ryzyko dla organizacji obejmuje nieautoryzowany dostęp do bazy danych, wyciek wrażliwych danych oraz potencjalne przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.3.8 lub nowszej oraz Liferay DXP do wersji 7.3 update 5 lub nowszej, a także zastosowanie odpowiednich poprawek bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in the Friendly Url module in Liferay Portal 7.3.7, and Liferay DXP 7.3 fix pack 2 through update 4 allows attackers to execute arbitrary SQL commands via a crafted payload injected into the `title` field of a friendly URL.