CVE-2023-33937
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W Liferay Portal w wersjach od 7.1.0 do 7.3.0 oraz Liferay DXP 7.1 przed poprawką 18 i 7.2 przed poprawką 5 występuje podatność na przechowywane ataki XSS. Atakujący może wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany ładunek w polu `name` formularza.
Ocena ryzyka
Podatność ta może prowadzić do złośliwego wstrzyknięcia kodu, co stwarza ryzyko kradzieży danych użytkowników oraz przejęcia sesji. Organizacje mogą być narażone na ataki, które mogą wpłynąć na ich reputację i bezpieczeństwo danych.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszych wersji, które zawierają poprawki bezpieczeństwa. Należy również przeprowadzić audyt formularzy w celu zidentyfikowania i zabezpieczenia potencjalnych wektorów ataku.
Oryginalny opis (angielski, źródło NVD)
Stored cross-site scripting (XSS) vulnerability in Form widget configuration in Liferay Portal 7.1.0 through 7.3.0, and Liferay DXP 7.1 before fix pack 18, and 7.2 before fix pack 5 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a form's `name` field.