Múltiples vulnerabilidades en productos Liferay
Fecha de publicación 26/06/2019
Importancia
5 - Crítica
Recursos Afectados
- Liferay Portal 7.1 CE GA3 y versiones anteriores sin soporte.
Descripción
Liferay ha publicado múltiples vulnerabilidades, una de severidad crítica y cinco de severidad alta, que podrían permitir acceder a información sensible, inyectar código u obtener privilegios indebidos.
Solución
- Actualizar a Liferay Portal 7.1 CE GA4 (7.1.3) o posterior.
Detalle
La vulnerabilidad de severidad crítica se refiere a:
- El producto afectado es vulnerable a Server Side Request Forgery (SSRF) a través del proveedor de datos DDM REST, que podría permitir a un atacante acceder a información confidencial.
El resto de ellas, de severidad alta, son:
- Los hashes de las contraseñas y las respuestas al recordatorio de la contraseña, pueden aparecer en los registros si se produce un error en la base de datos.
- Múltiples vulnerabilidades de XSS, podrían permitir a un atacante remoto inyectar scripts web o HTML arbitrarios en una página.
- Vulnerabilidad de salto de directorio en la sección de encuestas.
- Algunos permisos pueden estar seleccionados por defecto. Esto puede provocar que algunos usuarios reciban permisos indebidos de manera involuntaria.
- La emisión de permisos múltiples podría permitir a los usuarios realizar acciones no autorizadas.
Listado de referencias
Etiquetas