PT-2022-17098 · Liferay · Liferay Portal+1
Jakub Zoczek
·
Publicado
2022-03-02
·
Atualizado
2024-01-31
·
CVE-2022-25146
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Liferay Portal, versões 7.4.3.4 a 7.4.3.8
Liferay DXP 7.4, anterior à atualização 5
Descrição
O problema diz respeito ao módulo Remote App, que não verifica se a origem das mensagens de evento recebidas corresponde à origem do Remote App. Isso permite que invasores possam extrair o token CSRF enviando uma mensagem de evento maliciosa.
Recomendações
Para as versões 7.4.3.4 a 7.4.3.8 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.
Para o Liferay DXP 7.4 antes da atualização 5, aplique a atualização 5 ou posterior para corrigir o problema.
Correção
Origin Validation Error
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal