CVE-2023-35029
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Liferay Portal w wersjach 7.4.3.70 do 7.4.3.76 oraz Liferay DXP w aktualizacji 70 do 76 występuje podatność na otwarte przekierowanie w konfiguracji SEO modułu Layout. Atakujący mogą wykorzystać parametr `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`, aby przekierować użytkowników do dowolnych zewnętrznych adresów URL.
Ocena ryzyka
Podatność ta może prowadzić do oszustw phishingowych, gdzie użytkownicy mogą być przekierowywani do złośliwych stron internetowych, co zagraża bezpieczeństwu danych organizacji.
Rekomendacja
Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszych wersji, aby usunąć tę podatność oraz monitorowanie użycia parametru `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.
Oryginalny opis (angielski, źródło NVD)
Open redirect vulnerability in the Layout module's SEO configuration in Liferay Portal 7.4.3.70 through 7.4.3.76, and Liferay DXP 7.4 update 70 through 76 allows remote attackers to redirect users to arbitrary external URLs via the `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL` parameter.