Podatność CVE-2021-33338

Podatność CVE-2021-33338

Publikacja: 2021-08-04

Opis:

The Layout module in Liferay Portal 7.1.0 through 7.3.2, and Liferay DXP 7.1 before fix pack 19, and 7.2 before fix pack 6, exposes the CSRF token in URLs, which allows man-in-the-middle attackers to obtain the token and conduct Cross-Site Request Forgery (CSRF) attacks via the p_auth parameter.

Typ:

CWE-352

(Cross-Site Request Forgery (CSRF))

CVSS2 => (AV:N/AC:H/Au:N/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
5.1/10	6.4/10	4.9/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Wysoka	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Liferay -> DXP
Liferay -> Liferay portal

Referencje:

https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748276

https://issues.liferay.com/browse/LPE-17030

Copyright 2024, cxsecurity.com