PT-2021-18044 · Liferay · Liferay Portal+1

Publicado 2021-05-17 · Atualizado 2022-05-24 · CVE-2021-29046

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Liferay Portal versão 7.3.5

Liferay DXP versão 7.3 anterior ao fix pack 1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) no campo de entrada do seletor de categorias do módulo Asset, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro com liferay asset categories admin web portlet AssetCategoriesAdminPortlet title.

Recomendações:

Para o Liferay Portal versão 7.3.5, atualize para uma versão que inclua o fix pack 1 ou posterior.

Para o Liferay DXP versão 7.3 anterior ao fix pack 1, aplique o fix pack 1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro com liferay asset categories admin web portlet AssetCategoriesAdminPortlet title no campo de entrada do seletor de categorias do módulo Asset até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-29046

GHSA-9G57-M5VF-QP73

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 7

• https://github.com/liferay/liferay-portal · Nota
• http://liferay.com · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-29046 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29046 · Aviso do Fabricante
• https://t.me/cvenotify/14509 · Publicação no Telegram
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120743501 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9g57-m5vf-qp73 · Aviso do Fabricante