PT-2021-20103 · Liferay · Liferay Portal+1

CVE-2021-33322 · Publicado 2021-08-03 · Atualizado 2025-05-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Liferay Portal versões 7.3.0 e anteriores

Liferay DXP versões 7.0 anteriores ao fix pack 96

Liferay DXP versões 7.1 anteriores ao fix pack 18

Liferay DXP versões 7.2 anteriores ao fix pack 5

Descrição

A vulnerabilidade permite que invasores remotos alterem a senha de um usuário por meio de um token antigo de redefinição de senha, pois os tokens não são invalidados após o usuário alterar sua senha.

Recomendações

Para as versões 7.3.0 e anteriores do Liferay Portal, atualize para uma versão posterior à 7.3.0.

Para as versões 7.0 do Liferay DXP anteriores ao fix pack 96, aplique o fix pack 96 ou posterior.

Para as versões 7.1 do Liferay DXP anteriores ao fix pack 18, aplique o fix pack 18 ou posterior.

Para as versões 7.2 do Liferay DXP anteriores ao fix pack 5, aplique o fix pack 5 ou posterior.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2021-33322

GHSA-VWJ8-4GRF-3R8V

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 12

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/8f072ee8527a1dd5c0ffa91c4a78641d0e666b95 · Nota
• https://github.com/liferay/liferay-portal/commit/9fe453b34f58286a504d995be8ba50499adcf1b7 · Nota
• https://issues.liferay.com/browse/LPE-16981 · Aviso do Fabricante
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2021-33322-password-change-does-not-invalidate-password-reset-tokens?p_r_p_assetEntryId=121610648&_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_redirect=https%3A%2F%2Fliferay.dev%3A443%2Fportal%2Fsecurity%2Fknown-vulnerabilities%3Fp_p_id%3Dcom_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt%26p_p_lifecycle%3D0%26p_p_state%3Dnormal%26p_p_mode%3Dview%26p_r_p_assetEntryId%3D121610648%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_cur%3D0%26p_r_p_resetCur%3Dfalse · Nota
• https://osv.dev/vulnerability/GHSA-vwj8-4grf-3r8v · Aviso do Fabricante
• https://t.me/cvenotify/122022 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-33322 · Aviso do Fabricante
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748020 · Aviso do Fabricante
• https://t.me/cvenotify/19123 · Publicação no Telegram
• https://liferay.atlassian.net/browse/LPE-16981 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-33322 · Nota de Segurança