Liferay Portal and Liferay DXP Fails to Sanitize API Data

中 6.5CVE-2020-13444 · GHSA-8j5r-9687-88w5 · 10/06/2020 公開 · 17/06/2026 更新

要点

CVE-2020-13444 は com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom, liferay portal (liferay) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.6%（全脆弱性の 75.7% より高い）。
対処：7.0.10.fp92, 7.1.10.fp19, 7.2.10.fp7, 7.3.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.liferay.portal:release.dxp.bom Maven	`≥ 7.0.0, < 7.0.10.fp92≥ 7.1.0, < 7.1.10.fp19≥ 7.2.0, < 7.2.10.fp7`	`7.0.10.fp927.1.10.fp197.2.10.fp7`
com.liferay.portal:release.portal.bom Maven	`≥ 7.0.0, < 7.3.2`	`7.3.2`
liferay portal liferay	`= 7.1= 7.1.1= 7.2= 7.3`	修正版なし

概要

Liferay Portal 7.x before 7.3.2, and Liferay DXP 7.0 before fix pack 92, 7.1 before fix pack 19, and 7.2 before fix pack 7, does not sanitize the information returned by the DDMDataProvider API, which allows remote authenticated users to obtain the password to REST Data Providers.

NVD の説明

Liferay Portal 7.x before 7.3.2, and Liferay DXP 7.0 before fix pack 92, 7.1 before fix pack 18, and 7.2 before fix pack 5 does not sanitize the information returned by the DDMDataProvider API, which allows remote authenticated users to obtain the password to REST Data Providers.