CVE-2023-3426
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Liferay Portal w wersjach 7.4.3.81 do 7.4.3.85 oraz Liferay DXP 7.4 aktualizacjach 81 do 85, selektor organizacji nie sprawdza uprawnień użytkowników, co pozwala zdalnym, uwierzytelnionym użytkownikom na uzyskanie listy wszystkich organizacji.
Ocena ryzyka
Brak weryfikacji uprawnień może prowadzić do ujawnienia wrażliwych informacji o organizacjach, co stwarza ryzyko naruszenia prywatności i bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszej wersji, aby naprawić tę lukę oraz wdrożenie dodatkowych mechanizmów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The organization selector in Liferay Portal 7.4.3.81 through 7.4.3.85, and Liferay DXP 7.4 update 81 through 85 does not check user permission, which allows remote authenticated users to obtain a list of all organizations.