CVE-2020-25476

Orta

Açıklama

Liferay CMS Portal 7.1.3 ve 7.2.1 versiyonları, Calendar bileşeninin user name parametresinde kör kalıcı siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Bir saldırgan; kendi profilindeki username, lastname veya surname alanlarına kötü amaçlı yükü yerleştirebilir ve bu yük, payload'u gönderen kullanıcının takvimine enjekte edilerek yansıtılır. Bir yönetici, payload'un enjekte edildiği takvimi ziyaret etmesi durumunda, saldırgan yetkilerini yükseltebilir.

ÖnemOrta

CVSS6.1

İstismar olasılığı—

Ürün

Liferay Portal

Yayın7 Oca 2021

İlk görülme7 Oca 2021

Nasıl düzeltilir

Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
liferay liferay_portal	7.1.3, 7.2.1	—
com.liferay.portal:release.portal.bomMaven	v ≤ 7.1.3, 7.2 ≤ v ≤ 7.2.1	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.