PT-2022-24614 · Liferay · Liferay Digital Experience Platform

Rafal Lykowski · Publicado 2022-10-19 · Atualizado 2025-05-09 · CVE-2022-38901

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Liferay Digital Experience Platform versão 7.3.10 SP3

Descrição

Existe uma vulnerabilidade de tipo Cross-site scripting (XSS) na funcionalidade de upload de arquivos do módulo Document and Media, permitindo que invasores remotos injetem scripts JS ou HTML arbitrários no campo de descrição de arquivos SVG enviados.

Recomendações

Para a Liferay Digital Experience Platform versão 7.3.10 SP3, considere restringir o acesso à funcionalidade de upload de arquivos no módulo Document and Media até que uma correção esteja disponível e evite usar o campo de descrição para arquivos SVG enviados, a fim de minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-38901

Produtos afetados

Liferay Digital Experience Platform

Referências · 6

• 🔥 https://offensity.com/en/blog/authenticated-persistent-xss-in-liferay-dxp-cms-cve-2022-38901-and-cve-2022-38902 · Exploit
• https://drive.proton.me/urls/D27RQ14NGW#b71d8XrBl2Mu · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-38901 · Nota de Segurança
• https://t.me/cvenotify/121566 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-38901 · Aviso do Fabricante
• http://liferay.com · Aviso do Fabricante