PT-2021-20113 · Liferay · Liferay Portal+1
Publicado
2021-08-03
·
Atualizado
2022-05-24
·
CVE-2021-33332
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Liferay Portal de 7.1.0 a 7.3.2
Versões do Liferay DXP 7.1 anteriores ao fix pack 19
Versões do Liferay DXP 7.2 anteriores ao fix pack 7
Descrição
Uma vulnerabilidade de cross-site scripting (XSS) no módulo de configuração de portlets permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro
com liferay portlet configuration css web portlet PortletConfigurationCSSPortlet portletResource. Isso permite que invasores executem scripts maliciosos no navegador da vítima.Recomendações
Para as versões 7.1.0 a 7.3.2 do Liferay Portal, atualize para uma versão fora desse intervalo ou aplique o fix pack necessário.
Para a versão 7.1 do Liferay DXP, aplique o fix pack 19 ou posterior.
Para a versão 7.2 do Liferay DXP, aplique o fix pack 7 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao parâmetro
com liferay portlet configuration css web portlet PortletConfigurationCSSPortlet portletResource para minimizar o risco de exploração.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal