PT-2022-24615 · Liferay · Liferay Digital Experience Platform

Rafal Lykowski · Publicado 2022-10-13 · Atualizado 2025-05-15 · CVE-2022-38902

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Liferay Digital Experience Platform versão 7.3.10 SP3

Descrição

Uma vulnerabilidade de tipo Cross-site scripting (XSS) na funcionalidade de adição de novos tópicos do módulo Blog permite que invasores remotos injetem scripts JS ou HTML arbitrários no campo de nome de tópicos recém-criados.

Recomendações

Para a Liferay Digital Experience Platform versão 7.3.10 SP3, considere restringir o acesso à funcionalidade “Adicionar novo tópico” do módulo Blog até que uma correção esteja disponível. Como solução alternativa temporária, restrinja a capacidade de injetar scripts JS ou HTML arbitrários no campo de nome de tópicos recém-criados.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-38902

Produtos afetados

Liferay Digital Experience Platform

Referências · 7

• 🔥 https://offensity.com/en/blog/authenticated-persistent-xss-in-liferay-dxp-cms-cve-2022-38901-and-cve-2022-38902 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-38902 · Nota de Segurança
• https://drive.proton.me/urls/D27RQ14NGW#b71d8XrBl2Mu · Nota
• http://liferay.com · Nota
• https://osv.dev/vulnerability/CVE-2022-38902 · Aviso do Fabricante
• https://t.me/cvenotify/122351 · Publicação no Telegram
• https://t.me/cibsecurity/51314 · Publicação no Telegram