CVE-2023-33948
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Moduł Dynamic Data Mapping w Liferay Portal 7.4.3.67 oraz Liferay DXP 7.4 aktualizacja 67 nie ogranicza pobierania plików Dokumentów i Mediów z formularza, co pozwala zdalnym atakującym na pobranie dowolnego pliku za pomocą spreparowanego adresu URL.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików, co może prowadzić do wycieku danych i naruszenia prywatności organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Liferay, która wprowadza ograniczenia w pobieraniu plików z formularzy.
Oryginalny opis (angielski, źródło NVD)
The Dynamic Data Mapping module in Liferay Portal 7.4.3.67, and Liferay DXP 7.4 update 67 does not limit Document and Media files which can be downloaded from a Form, which allows remote attackers to download any file from Document and Media via a crafted URL.