PT-2021-20109 · Liferay · Liferay Portal+1

Publicado 2021-08-03 · Atualizado 2022-05-24 · CVE-2021-33328

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Liferay Portal 7.0.0 a 7.3.4

Versões do Liferay DXP 7.0 a 7.0 anteriores ao fix pack 96

Versões do Liferay DXP 7.1 a 7.1 anteriores ao fix pack 20

Versões do Liferay DXP 7.2 a 7.2 anteriores ao fix pack 9

Descrição

Existe uma vulnerabilidade de cross-site scripting (XSS) na página de edição de vocabulário do módulo Asset, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro com liferay journal web portlet JournalPortlet name ou com liferay document library web portlet DLAdminPortlet name.

Recomendações

Para as versões 7.0.0 a 7.3.4 do Liferay Portal, atualize para uma versão posterior à 7.3.4 para resolver o problema.

Para a versão 7.0 do Liferay DXP, aplique o fix pack 96 ou posterior.

Para a versão 7.1 do Liferay DXP, aplique o fix pack 20 ou posterior.

Para o Liferay DXP versão 7.2, aplique o fix pack 9 ou posterior.

Como solução alternativa temporária, considere restringir o acesso à página de edição de vocabulário no módulo Asset até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-33328

GHSA-VPVM-3WFW-5F5C

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 6

• https://github.com/liferay/liferay-portal · Nota
• https://osv.dev/vulnerability/GHSA-vpvm-3wfw-5f5c · Aviso do Fabricante
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747972 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-33328 · Nota de Segurança
• https://issues.liferay.com/browse/LPE-17100 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-33328 · Aviso do Fabricante