CVE-2021-29041
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Podatność na atak typu DoS w module uwierzytelniania wieloskładnikowego w Liferay DXP 7.3 przed pakietem naprawczym 1 umożliwia zdalnym, uwierzytelnionym atakującym uniemożliwienie uwierzytelniania dowolnemu użytkownikowi poprzez włączenie TOTP w imieniu innego użytkownika lub modyfikację współdzielonego sekretu TOTP.
Ocena ryzyka
Organizacja narażona jest na całkowitą blokadę dostępu użytkowników do systemu, co może prowadzić do przerwania działalności operacyjnej i utraty produktywności.
Rekomendacja
Należy niezwłocznie zastosować pakiet naprawczy 1 dla Liferay DXP 7.3 lub nowszy, aby wyeliminować podatność.
Inne podatności w Liferay DXP
Zobacz wszystkie- CVE-2025-62241Średnie
Podatność Insecure Direct Object Reference (IDOR) dotycząca adresów wysyłki w Liferay DXP 2023.Q4.1 do 2023.Q4.5 pozwala zdalnie uwierzytelnionym użytkownikom z jednej instancji wirtualnej na podgląd adresów wysyłki z innej instancji wirtualnej za pomocą parametru _com_liferay_commerce_order_web_internal_portlet_CommerceOrderPortlet_commerceOrderId.
- CVE-2021-29049Średnie
Podatność na atak typu Cross-site scripting (XSS) w module Portal Workflow w Liferay DXP, występująca na stronie edycji procesu. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr currentURL.
Oryginalny opis (angielski, źródło NVD)
Denial-of-service (DoS) vulnerability in the Multi-Factor Authentication module in Liferay DXP 7.3 before fix pack 1 allows remote authenticated attackers to prevent any user from authenticating by (1) enabling Time-based One-time password (TOTP) on behalf of the other user or (2) modifying the other user's TOTP shared secret.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS