CVE-2020-7934
In LifeRay Portal CE 7.1.0 fino a 7.2.1 GA2, i campi First Name, Middle Name e Last Name per gli account utente in MyAccountPortlet sono tutti vulnerabili a...
- Pubblicato
- 28 gen 2020
- Aggiornato
- 4 ago 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 23 nov 2020
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 91,3%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
In LifeRay Portal CE 7.1.0 fino a 7.2.1 GA2, i campi First Name, Middle Name e Last Name per gli account utente in MyAccountPortlet sono tutti vulnerabili a un problema di XSS persistente. Qualsiasi utente può modificare questi campi con un particolare payload XSS, che verrà archiviato nel database. Il payload verrà poi renderizzato quando un utente utilizza la funzione di ricerca per cercare altri utenti (cioè, se un utente con campi modificati compare nei risultati di ricerca). Questo problema è stato corretto in Liferay Portal CE versione 7.3.0 GA1.
Fonti
XSS persistente autenticata in LifeRay 7.2.0 GA1 tramite MyAccountPortlet eseguita dai risultati di ricerca
- audit-xss-cve-2020-7934Exploit
Exploit XSS basato su Docker per CVE-2020-7934 che colpisce il portale Liferay. Dimostra un cross-site scripting memorizzato tramite campi del profilo utente per rubare le credenziali dell'amministratore.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.