CVE-2023-35030

WysokieCVSS 8.8

Opublikowano: 15/06/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W module układu w konfiguracji SEO w Liferay Portal 7.4.3.70 do 7.4.3.76 oraz Liferay DXP 7.4 aktualizacja 70 do 76 występuje podatność na atak typu cross-site request forgery (CSRF). Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu w konsoli skryptowej za pomocą parametru `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego dostępu i wykonania złośliwego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu oraz danych użytkowników.

Rekomendacja

Zaleca się aktualizację Liferay Portal i Liferay DXP do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ochrony przed atakami CSRF.

Inne podatności w Liferay Portal 7.4.3.70 do 7.4.3.76, Liferay DXP 7.4 aktualizacja 70 do 76

CVE-2023-35029Średnie
W Liferay Portal w wersjach 7.4.3.70 do 7.4.3.76 oraz Liferay DXP w aktualizacji 70 do 76 występuje podatność na otwarte przekierowanie w konfiguracji SEO modułu Layout. Atakujący mogą wykorzystać parametr `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`, aby przekierować użytkowników do dowolnych zewnętrznych adresów URL.

Oryginalny opis (angielski, źródło NVD)

Cross-site request forgery (CSRF) vulnerability in the Layout module's SEO configuration in Liferay Portal 7.4.3.70 through 7.4.3.76, and Liferay DXP 7.4 update 70 through 76 allows remote attackers to execute arbitrary code in the scripting console via the `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL` parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS