PT-2022-17948 · Liferay · Liferay Portal+1

Publicado 2022-04-19 · Atualizado 2024-01-31 · CVE-2022-26595

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Liferay Portal 7.3.7 a 7.4.1

Versões do Liferay DXP 7.2 Fix Pack 13 a 7.3 Fix Pack 2

Descrição

O problema decorre de verificações inadequadas de permissão do usuário ao acessar uma lista de sites ou grupos. Isso permite que usuários autenticados remotamente visualizem sites ou grupos por meio da interface de usuário de atribuição de associação ao site do usuário.

Recomendações

Para as versões 7.3.7 a 7.4.1 do Liferay Portal, considere restringir o acesso à interface de usuário de atribuição de associação ao site até que um patch esteja disponível.

Para as versões do Liferay DXP 7.2 Fix Pack 13 a 7.3 Fix Pack 2, considere desativar o recurso de atribuição de associação a sites para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

BIT-LIFERAY-2022-26595

CVE-2022-26595

GHSA-822F-JFPG-HG7H

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 12

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/5b958de42d93f1ba5879a0a20054b14ad7f145c4 · Nota
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2022-26595-unauthorized-access-to-site-group-list?p_r_p_assetEntryId=121612195&_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_redirect=https%3A%2F%2Fliferay.dev%3A443%2Fportal%2Fsecurity%2Fknown-vulnerabilities%3Fp_p_id%3Dcom_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt%26p_p_lifecycle%3D0%26p_p_state%3Dnormal%26p_p_mode%3Dview%26p_r_p_assetEntryId%3D121612195%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_cur%3D0%26p_r_p_resetCur%3Dfalse · Nota
• https://osv.dev/vulnerability/GHSA-822f-jfpg-hg7h · Aviso do Fabricante
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/cve-2022-26595-unauthorized-access-to-site-group-list · Aviso do Fabricante
• http://liferay.com · Aviso do Fabricante
• https://t.me/cvenotify/29147 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-26595 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-liferay-2022-26595 · Aviso do Fabricante
• https://liferay.atlassian.net/issues/LPE-17367 · Nota
• https://osv.dev/vulnerability/CVE-2022-26595 · Aviso do Fabricante
• https://t.me/cibsecurity/41091 · Publicação no Telegram