PT-2021-20102 · Liferay · Liferay Portal+1

Publicado 2021-08-03 · Atualizado 2022-05-24 · CVE-2021-33321

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Liferay Portal de 6.2.3 a 7.3.2

Versões do Liferay DXP anteriores à 7.3

Descrição

O problema está relacionado a uma configuração padrão insegura que permite que invasores remotos enumerem endereços de e-mail de usuários por meio da funcionalidade de recuperação de senha. A propriedade de configuração login.secure.forgot.password deve ser definida como true por padrão para evitar isso.

Recomendações

Para as versões do Liferay Portal 6.2.3 a 7.3.2, defina a propriedade portal.property login.secure.forgot.password como true.

Para as versões do Liferay DXP anteriores à 7.3, defina a propriedade portal.property login.secure.forgot.password como true.

Correção

Enumeração de Fraquezas

CWE-640

Identificadores relacionados

CVE-2021-33321

GHSA-JFCH-M2X3-2V66

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 9

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/06df28c5ad618afed967fa485418e6cc29c70f38 · Nota
• https://github.com/liferay/liferay-portal/commit/37de1d78d9b1c4a473e3233a6ea146c741075e18 · Nota
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748055 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-33321 · Aviso do Fabricante
• https://help.liferay.com/hc/en-us/articles/360050785632 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-33321 · Nota de Segurança
• https://t.me/cvenotify/18557 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-jfch-m2x3-2v66 · Aviso do Fabricante