| 概要 | Cross-site request forgery (CSRF) vulnerability in the My Account widget in Liferay Portal 7.4.3.75 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.2, 2023.Q3.1 through 2023.Q3.5, 7.4 update 75 through update 92 and 7.3 update 32 through update 36 allows remote attackers to (1) change user passwords, (2) shut down the server, (3) execute arbitrary code in the scripting console, (4) and perform other administrative actions via the _com_liferay_my_account_web_portlet_MyAccountPortlet_backURL parameter. |
|---|---|
| 公表日 | 2024年10月23日0:15 |
| 登録日 | 2024年10月23日5:00 |
| 最終更新日 | 2024年10月31日0:04 |
| CVSS3.1 : HIGH | |
| スコア | 8.8 |
|---|---|
| ベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | 高 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update82:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update83:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update84:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update85:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update81:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update86:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:2023:q3.1:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:2023:q3.5:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:2023:q4.0:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:2023:q4.2:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update75:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.4:update92:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.3:update33:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.3:update34:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.3:update32:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:digital_experience_platform:7.3:update35:*:*:*:*:*:* | |||||
| cpe:2.3:a:liferay:liferay_portal:*:*:*:*:*:*:*:* | 7.4.3.75 | 7.4.3.112 | |||
| タイトル | Liferay の Digital Experience Platform および Liferay Portal におけるクロスサイトリクエストフォージェリの脆弱性 |
|---|---|
| 概要 | Liferay の Digital Experience Platform および Liferay Portal には、クロスサイトリクエストフォージェリの脆弱性が存在します。 |
| 想定される影響 | 情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 |
| 対策 | ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 |
| 公表日 | 2024年10月22日0:00 |
| 登録日 | 2024年10月31日11:56 |
| 最終更新日 | 2024年10月31日11:56 |
| Liferay |
| Digital Experience Platform 2023 |
| Digital Experience Platform 7.3 |
| Digital Experience Platform 7.4 |
| Liferay Portal 7.4.3.75 以上 7.4.3.112 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2024年10月31日] 掲載 |
2024年10月31日11:56 |