CVE-2023-33945
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność typu SQL injection w procesie aktualizacji dla SQL Server w Liferay Portal 7.3.1 do 7.4.3.17 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 18, umożliwia atakującym wykonywanie dowolnych poleceń SQL poprzez nazwę indeksu klucza głównego tabeli bazy danych. Wykorzystanie tej podatności wymaga połączenia z innymi atakami.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych oraz możliwość modyfikacji bazy danych, co może prowadzić do poważnych konsekwencji dla integralności danych.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszych wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem podejrzanych działań związanych z aktualizacjami.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the upgrade process for SQL Server in Liferay Portal 7.3.1 through 7.4.3.17, and Liferay DXP 7.3 before update 6, and 7.4 before update 18 allows attackers to execute arbitrary SQL commands via the name of a database table's primary key index. This vulnerability is only exploitable when chained with other attacks. To exploit this vulnerability, the attacker must modify the database and wait for the application to be upgraded.