CVE-2023-33949
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W Liferay Portal 7.3.0 i wcześniejszych oraz Liferay DXP 7.2 i wcześniejszych, domyślna konfiguracja nie wymaga od użytkowników weryfikacji adresu e-mail, co pozwala zdalnym atakującym na tworzenie kont przy użyciu fałszywych adresów e-mail lub adresów, których nie kontrolują.
Ocena ryzyka
Brak weryfikacji adresu e-mail stwarza ryzyko, że nieautoryzowani użytkownicy mogą uzyskać dostęp do systemu, co może prowadzić do nadużyć i naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się ustawienie właściwości portalu `company.security.strangers.verify` na wartość true, aby wymusić weryfikację adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
In Liferay Portal 7.3.0 and earlier, and Liferay DXP 7.2 and earlier the default configuration does not require users to verify their email address, which allows remote attackers to create accounts using fake email addresses or email addresses which they don't control. The portal property `company.security.strangers.verify` should be set to true.