V
Сканер-ВС
ENRU
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
←К каталогу
CVE-2024-38002
CVE
Высокий

Компонент workflow в Liferay Portal с 7.3.2 по 7.4.3.111 и Liferay DXP с 2023.Q4.0 по 2023.Q4.5, с 2023.Q3.1 по 2023.Q3.8, 7.4 GA по update…

CVSS
8.8
Высокий
EPSS
0.01
p43
Опубликовано
2024-01-01
Обновлено
2024-01-01
Описание

Компонент workflow в Liferay Portal с 7.3.2 по 7.4.3.111 и Liferay DXP с 2023.Q4.0 по 2023.Q4.5, с 2023.Q3.1 по 2023.Q3.8, 7.4 GA по update 92 и 7.3 GA по update 36 неправильно проверяет разрешения пользователя перед обновлением определения workflow, что позволяет удаленным аутентифицированным пользователям изменять определения workflow и выполнять произвольный код (RCE) через headless API.

Теги · CWE
CWE-862
CAPEC-665
Затронутые продукты
Digital_experience_platform 2023.q3.1–2023.q3.9Digital_experience_platform 2023.q4.0–2023.q4.6Digital_experience_platformLiferay_portal 7.3.2–7.3.7Liferay_portal 7.4.0–7.4.3.112
Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Хронология
2024-01-01
Опубликована
2024-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: L
Низкие (L)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: H
Высокое (H)
Воздействие на целостность
I: H
Высокое (H)
Воздействие на доступность
A: H
Высокое (H)
Индикаторы эксплуатации
EPSS
0.006 · p43
Известна эксплуатация (KEV)
Нет
MITRE ATT&CK
Выводимые через CAPEC
└ через CAPEC-665 · CWE-862
└ через CAPEC-665 · CWE-862
└ через CAPEC-665 · CWE-862
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Затронутые продукты
Liferay
Liferay PortalDigital Experience Platform
ПродуктВендорСтатус
digital_experience_platform*Отслеживается
liferay_portal*Отслеживается
Источники данных
CVE