CVE-2023-33938
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W module App Builder w Liferay Portal 7.3.0 do 7.4.0 oraz Liferay DXP 7.3 przed aktualizacją 14 występuje podatność na atak typu cross-site scripting (XSS). Atakujący mogą wstrzykiwać dowolne skrypty webowe lub HTML poprzez spreparowany ładunek w polu 'Nazwa' obiektu niestandardowego w App Builder.
Ocena ryzyka
Podatność ta umożliwia zdalnym atakującym wykonanie nieautoryzowanego kodu w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Organizacje powinny być świadome ryzyka związanego z wykorzystaniem tej luki.
Rekomendacja
Zaleca się aktualizację Liferay Portal do wersji 7.4.0 lub zastosowanie odpowiednich poprawek w wersji 7.3.0, aby zniwelować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the App Builder module's custom object details page in Liferay Portal 7.3.0 through 7.4.0, and Liferay DXP 7.3 before update 14 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into an App Builder custom object's `Name` field.