CVE-2025-43784
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Liferay Portal 7.4.0 do 7.4.3.124 oraz Liferay DXP (wersje 2024.Q2.0-2024.Q2.8, 2024.Q1.1-2024.Q1.12, 7.4 GA do update 92) występuje nieprawidłowa kontrola dostępu. Goście mogą uzyskać informacje o wpisach obiektów poprzez API Builder.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do informacji, które powinny być chronione. Może to prowadzić do wycieku danych wewnętrznych.
Rekomendacja
Zaktualizuj Liferay Portal/DXP do wersji zawierającej poprawkę. Do czasu aktualizacji rozważ ograniczenie dostępu do API Builder dla gości.
Inne podatności w Liferay Portal, Liferay DXP
Zobacz wszystkie- CVE-2023-33946Niskie
Moduł Object w Liferay Portal w wersjach 7.4.3.4 do 7.4.3.48 oraz Liferay DXP 7.4 przed aktualizacją 49 nie izoluje poprawnie obiektów w różnych instancjach wirtualnych. Umożliwia to zdalnym uwierzytelnionym użytkownikom w jednej instancji wirtualnej przeglądanie obiektów w innej instancji wirtualnej za pośrednictwem strony administracyjnej zakresu OAuth 2.
- CVE-2023-33939Średnie
Podatność XSS w widżecie Modified Facet w Liferay Portal od wersji 7.1.0 do 7.4.3.12 oraz Liferay DXP 7.1 przed poprawką 27, 7.2 przed poprawką 18, 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 9 umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w etykiecie facetu.
Oryginalny opis (angielski, źródło NVD)
Improper Access Control vulnerability in Liferay Portal 7.4.0 through 7.4.3.124, and Liferay DXP 2024.Q2.0 through 2024.Q2.8, 2024.Q1.1 through 2024.Q1.12 and 7.4 GA through update 92 allows guest users to obtain object entries information via the API Builder.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS