CVE-2023-47321
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Silverpeas Core 6.3.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu w komponencie 'Porlet Deployer', która umożliwia administratorom wdrażanie portletów .WAR. Może to prowadzić do nieautoryzowanego uruchamiania kodu lub eskalacji uprawnień.
Ocena ryzyka
Ryzyko polega na tym, że administratorzy mogą wdrażać złośliwe portlety .WAR, co może skutkować przejęciem kontroli nad serwerem aplikacji lub wyciekiem danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Silverpeas Core do najnowszej wersji, która usuwa tę podatność. Ponadto należy ograniczyć uprawnienia administratorów i monitorować wdrażane portlety.
Inne podatności w Silverpeas Core
Zobacz wszystkie- CVE-2026-78742Średnie
Silverpeas Core w wersji do 6.4.6 jest podatny na Cross Site Scripting (XSS) poprzez wprowadzenie w aplikacji biblioteki multimedialnej.
- CVE-2026-78741Średnie
Silverpeas Core w wersji do 6.4.6 jest podatny na Cross Site Scripting (XSS) w funkcji przesyłania obrazów w edytorze wysiwyg-CKEditor.
- CVE-2026-78738Średnie
Silverpeas Core w wersji 6.4.6 jest podatny na Cross Site Scripting (XSS) poprzez funkcję przesyłania plików w module zarządzania dokumentami.
- CVE-2023-47327Średnie
Funkcja 'Utwórz przestrzeń' w Silverpeas Core 6.3.1 jest zarezerwowana dla administratorów, ale zawiera wadę kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi na utworzenie przestrzeni poprzez przejście pod odpowiedni URL.
- CVE-2023-47326Wysokie
Silverpeas Core 6.3.1 zawiera podatność na fałszowanie żądań między witrynami (CSRF) w funkcji tworzenia domeny SQL. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
- CVE-2023-47325Średnie
Podatność w Silverpeas Core 6.3.1 w funkcji administracyjnej 'Kosz' umożliwia użytkownikowi z niskimi uprawnieniami dostęp do kosza, co ujawnia wszystkie usunięte przestrzenie. Użytkownik może następnie przywrócić lub trwale usunąć te przestrzenie.
- CVE-2023-47324Średnie
Silverpeas Core 6.3.1 zawiera podatność na ataki XSS w funkcji wiadomości/powiadomień. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu JavaScript do treści wiadomości.
- CVE-2023-47323Wysokie
Funkcja powiadomień/wiadomości w Silverpeas Core 6.3.1 nie wymusza kontroli dostępu na parametrze ID. Umożliwia to atakującemu odczytanie wszystkich wiadomości wysłanych między innymi użytkownikami, w tym tych przeznaczonych tylko dla administratorów.
- CVE-2023-47322Wysokie
Funkcja 'userModify' w Silverpeas Core 6.3.1 jest podatna na atak CSRF, który umożliwia eskalację uprawnień. Jeśli administrator odwiedzi złośliwy URL będąc zalogowanym, atakujący może stać się administratorem aplikacji.
- CVE-2023-47320Wysokie
Silverpeas Core 6.3.1 i wcześniejsze wersje zawierają podatność związaną z nieprawidłową kontrolą dostępu. Osoba atakująca z niskimi uprawnieniami może wykonać funkcję zarezerwowaną dla administratora, włączając tryb konserwacji aplikacji. Powoduje to niedostępność aplikacji dla wszystkich użytkowników.
Oryginalny opis (angielski, źródło NVD)
Silverpeas Core 6.3.1 is vulnerable to Incorrect Access Control via the "Porlet Deployer" which allows administrators to deploy .WAR portlets.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS