PT-2022-19338 · Liferay · Liferay Portal+1
CVE-2022-28978
·
Publicado
2022-09-21
·
Atualizado
2022-09-23
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Liferay Portal, versões 7.0.1 a 7.4.1
Liferay DXP 7.0 antes do fix pack 102
Liferay DXP 7.1 antes do fix pack 26
Liferay DXP 7.2 antes do fix pack 15
Liferay DXP 7.3 antes do service pack 3
Descrição
Uma vulnerabilidade de cross-site scripting (XSS) armazenada na página de administração de membros do módulo Site permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do nome de um usuário. Isso permite que invasores executem scripts maliciosos no navegador da vítima.
Recomendações
Para as versões 7.0.1 a 7.4.1 do Liferay Portal, atualize para uma versão fora desse intervalo ou aplique o fix pack ou service pack necessário.
Para o Liferay DXP 7.0, aplique o fix pack 102 ou posterior.
Para o Liferay DXP 7.1, aplique o fix pack 26 ou posterior.
Para o Liferay DXP 7.2, aplique o fix pack 15 ou posterior.
Para o Liferay DXP 7.3, aplique o service pack 3 ou posterior.
Como solução alternativa temporária, considere restringir a entrada de nomes pelos usuários para minimizar o risco de exploração.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal