PT-2022-17946 · Liferay · Liferay Portal+1

Duy Huynh · Publicado 2022-04-19 · Atualizado 2024-01-31 · CVE-2022-26593

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Liferay Portal 7.3.3 a 7.4.0

Liferay DXP 7.3 antes do Service Pack 3

Descrição

Existe uma vulnerabilidade de cross-site scripting (XSS) no seletor de categorias de ativos do módulo Asset, permitindo que invasores remotos injetem scripts da web ou HTML arbitrários por meio do nome de uma categoria de ativo.

Recomendações

Para as versões 7.3.3 a 7.4.0 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.

Para o Liferay DXP 7.3 anterior ao Service Pack 3, aplique o Service Pack 3 ou posterior para corrigir a vulnerabilidade.

Como solução alternativa temporária, considere restringir o acesso ao seletor de categorias de ativos do módulo Asset até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-LIFERAY-2022-26593

CVE-2022-26593

GHSA-Q2RP-XFJ8-R95H

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 13

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/811d894cb079aba3644771a70cd9a2dfd36b945d · Nota
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/cve-2022-26593-stored-xss-with-category-name-in-asset-categories-selector · Aviso do Fabricante
• https://t.me/cvenotify/29422 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-26593 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-26593 · Aviso do Fabricante
• http://liferay.com · Aviso do Fabricante
• https://t.me/cvenotify/29148 · Publicação no Telegram
• https://t.me/cibsecurity/41093 · Publicação no Telegram
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2022-26593-stored-xss-with-category-name-in-asset-categories-selector?p_r_p_assetEntryId=121612145&_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_redirect=https%3A%2F%2Fliferay.dev%3A443%2Fportal%2Fsecurity%2Fknown-vulnerabilities%3Fp_p_id%3Dcom_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt%26p_p_lifecycle%3D0%26p_p_state%3Dnormal%26p_p_mode%3Dview%26p_r_p_assetEntryId%3D121612145%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_cur%3D0%26p_r_p_resetCur%3Dfalse · Nota
• https://liferay.atlassian.net/issues/LPE-17284 · Nota
• https://osv.dev/vulnerability/GHSA-q2rp-xfj8-r95h · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-liferay-2022-26593 · Aviso do Fabricante