CVE-2021-29049
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross-site scripting (XSS) w module Portal Workflow w Liferay DXP, występująca na stronie edycji procesu. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr currentURL.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście ich przeglądarki, co zagraża poufności i integralności danych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Liferay DXP do wersji zawierającej odpowiedni fix pack (7.0 FP99, 7.1 FP23, 7.2 FP12, 7.3 FP1 lub nowszy).
Inne podatności w Liferay DXP
Zobacz wszystkie- CVE-2025-62241Średnie
Podatność Insecure Direct Object Reference (IDOR) dotycząca adresów wysyłki w Liferay DXP 2023.Q4.1 do 2023.Q4.5 pozwala zdalnie uwierzytelnionym użytkownikom z jednej instancji wirtualnej na podgląd adresów wysyłki z innej instancji wirtualnej za pomocą parametru _com_liferay_commerce_order_web_internal_portlet_CommerceOrderPortlet_commerceOrderId.
- CVE-2021-29041Średnie
Podatność na atak typu DoS w module uwierzytelniania wieloskładnikowego w Liferay DXP 7.3 przed pakietem naprawczym 1 umożliwia zdalnym, uwierzytelnionym atakującym uniemożliwienie uwierzytelniania dowolnemu użytkownikowi poprzez włączenie TOTP w imieniu innego użytkownika lub modyfikację współdzielonego sekretu TOTP.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the Portal Workflow module's edit process page in Liferay DXP 7.0 before fix pack 99, 7.1 before fix pack 23, 7.2 before fix pack 12 and 7.3 before fix pack 1, allows remote attackers to inject arbitrary web script or HTML via the currentURL parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS