CVE-2023-33939
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność XSS w widżecie Modified Facet w Liferay Portal od wersji 7.1.0 do 7.4.3.12 oraz Liferay DXP 7.1 przed poprawką 27, 7.2 przed poprawką 18, 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 9 umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w etykiecie facetu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataków XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszych wersji, które zawierają poprawki zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Modified Facet widget in Liferay Portal 7.1.0 through 7.4.3.12, and Liferay DXP 7.1 before fix pack 27, 7.2 before fix pack 18, 7.3 before update 4, and 7.4 before update 9 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a facet label.