CVE-2023-3193
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W module układu w konfiguracji SEO w Liferay Portal 7.4.3.70 do 7.4.3.73 oraz Liferay DXP 7.4 aktualizacja 70 do 73 występuje podatność na atak typu cross-site scripting (XSS). Umożliwia ona zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML za pomocą parametru `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników, przejęcia sesji oraz innych ataków, które mogą zagrażać bezpieczeństwu aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszych wersji, które eliminują tę podatność. Dodatkowo warto przeprowadzić audyt bezpieczeństwa aplikacji w celu identyfikacji i naprawy potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Layout module's SEO configuration in Liferay Portal 7.4.3.70 through 7.4.3.73, and Liferay DXP 7.4 update 70 through 73 allows remote attackers to inject arbitrary web script or HTML via the `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL` parameter.