CVE-2022-42130
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Moduł Dynamic Data Mapping w Liferay Portal 7.1.0 do 7.4.3.4 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 19, 7.3 przed update 4 i 7.4 GA nieprawidłowo sprawdza uprawnienia do wpisów formularzy, co pozwala zdalnym uwierzytelnionym użytkownikom na przeglądanie i dostęp do wszystkich wpisów formularzy.
Ocena ryzyka
Organizacja narażona jest na wyciek danych wrażliwych, ponieważ uwierzytelnieni użytkownicy mogą uzyskać dostęp do wpisów formularzy, do których nie powinni mieć uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3.5 lub nowszej, a dla Liferay DXP zastosowanie odpowiedniego fix packa lub aktualizacji wskazanej w opisie CVE.
Inne podatności w Liferay Portal
Zobacz wszystkie- CVE-2010-5327Wysokie
Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.
- CVE-2022-42122Krytyczne
Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.
- CVE-2022-42120Krytyczne
Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.
- CVE-2020-7961KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Liferay Portal przed wersją 7.2.1 CE GA2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez usługi sieciowe JSON (JSONWS).
- CVE-2022-42132Średnie
W Liferay Portal i DXP funkcja testowania użytkowników LDAP ujawnia poświadczenia LDAP w adresie URL strony podczas przeglądania listy użytkowników. Atakujący typu man-in-the-middle lub mający dostęp do logów żądań mogą przechwycić te dane.
- CVE-2022-42131Średnie
W produktach Liferay wykryto brak walidacji certyfikatów SSL w modułach REST dostawców danych Dynamic Data Mapping. Podatność dotyczy Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 17 i 7.3 przed service pack 3.
- CVE-2022-42129Średnie
Podatność IDOR w module Dynamic Data Mapping w Liferay Portal 7.3.2 do 7.4.3.4 oraz Liferay DXP 7.3 przed updatem 4 i 7.4 GA umożliwia zdalnie uwierzytelnionym użytkownikom podgląd i dostęp do wpisów formularzy poprzez parametr `formInstanceRecordId`.
- CVE-2022-42128Średnie
Moduł Hypermedia REST APIs w Liferay Portal 7.4.1 do 7.4.3.4 oraz Liferay DXP 7.4 GA nieprawidłowo sprawdza uprawnienia, co umożliwia zdalnym atakującym uzyskanie obiektu WikiNode przez API WikiNodeResource.getSiteWikiNodeByExternalReferenceCode.
- CVE-2022-42127Średnie
Moduł Friendly Url w Liferay Portal 7.4.3.5 do 7.4.3.36 oraz Liferay DXP 7.4 update 1 do 36 nieprawidłowo sprawdza uprawnienia użytkownika, co pozwala zdalnym atakującym na uzyskanie historii wszystkich przyjaznych URL-i przypisanych do strony.
- CVE-2022-42126Średnie
Moduł Asset Libraries w Liferay Portal 7.3.5 do 7.4.3.28 oraz Liferay DXP 7.3 przed aktualizacją 8 i DXP 7.4 przed aktualizacją 29 nieprawidłowo sprawdza uprawnienia bibliotek zasobów, co umożliwia zdalnie uwierzytelnionym użytkownikom przeglądanie tych bibliotek przez interfejs użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Dynamic Data Mapping module in Liferay Portal 7.1.0 through 7.4.3.4, and Liferay DXP 7.1 before fix pack 27, 7.2 before fix pack 19, 7.3 before update 4, and 7.4 GA does not properly check permission of form entries, which allows remote authenticated users to view and access all form entries.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS