CVE-2023-33943
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W module Konta w Liferay Portal od wersji 7.4.3.21 do 7.4.3.62 oraz Liferay DXP 7.4 od aktualizacji 21 do 62 występuje podatność na ataki typu cross-site scripting (XSS). Atakujący mogą wstrzykiwać dowolne skrypty webowe lub HTML poprzez spreparowane dane w polach tekstowych użytkownika, takich jak Imię, Drugie Imię, Nazwisko lub Stanowisko.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników lub przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji. Atakujący mogą wykorzystać tę lukę do wprowadzenia złośliwego kodu, co może wpłynąć na reputację firmy.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy walidacji i sanitizacji danych wejściowych w formularzach użytkowników.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Account module in Liferay Portal 7.4.3.21 through 7.4.3.62, and Liferay DXP 7.4 update 21 through 62 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a user's (1) First Name, (2) Middle Name, (3) Last Name, or (4) Job Title text field.