CVE-2022-42130
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Moduł Dynamic Data Mapping w Liferay Portal 7.1.0 do 7.4.3.4 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 19, 7.3 przed update 4 i 7.4 GA nieprawidłowo sprawdza uprawnienia do wpisów formularzy, co pozwala zdalnym uwierzytelnionym użytkownikom na przeglądanie i dostęp do wszystkich wpisów formularzy.
Ocena ryzyka
Organizacja narażona jest na wyciek danych wrażliwych, ponieważ uwierzytelnieni użytkownicy mogą uzyskać dostęp do wpisów formularzy, do których nie powinni mieć uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.5 lub nowszej, a dla Liferay DXP zastosowanie odpowiedniego fix packa lub aktualizacji wskazanej w opisie CVE.
Oryginalny opis (angielski, źródło NVD)
The Dynamic Data Mapping module in Liferay Portal 7.1.0 through 7.4.3.4, and Liferay DXP 7.1 before fix pack 27, 7.2 before fix pack 19, 7.3 before update 4, and 7.4 GA does not properly check permission of form entries, which allows remote authenticated users to view and access all form entries.