CVE-2020-28885
Açıklama
7.3.5 GA6 ve 7.2.0 GA1 sürümlerinde test edilen Liferay Portal Server, OS Command Injection etkileşimine sahiptir. Yönetici yetkisine sahip bir kullanıcı, Liferay Portal Server üzerinde herhangi bir işletim sistemi komutunu yürütmek için Gogo Shell modülü aracılığıyla komutlar enjekte edebilir. NOT: Geliştirici, yöneticilerin Gogo Shell'de komutlara erişebilmesi ve bunları yürütebilmesinin bir özellik olduğunu, dolayısıyla bunun bir tasarım hatası olmadığını belirterek bu durumun bir güvenlik açığı olduğu görüşüne karşı çıkmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| liferay liferay_portal | 7.2, 7.3.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.