PT-2021-20118 · Liferay · Liferay Portal+1
Publicado
2021-08-04
·
Atualizado
2022-05-24
·
CVE-2021-33337
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Liferay Portal, versões 7.3.0 a 7.3.4
Liferay DXP, versões 7.1 anteriores ao fix pack 20
Liferay DXP, versões 7.2 anteriores ao fix pack 9
Descrição
Existe uma vulnerabilidade de cross-site scripting (XSS) no menu “Adicionar documento” do módulo Biblioteca de Documentos, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro
com liferay document library web portlet DLAdminPortlet name. Isso permite que invasores executem scripts maliciosos no navegador da vítima.Recomendações
Para as versões 7.3.0 a 7.3.4 do Liferay Portal, atualize para uma versão posterior à 7.3.4 para resolver o problema.
Para a versão 7.1 do Liferay DXP, aplique o fix pack 20 ou posterior para corrigir a vulnerabilidade.
Para a versão 7.2 do Liferay DXP, aplique o fix pack 9 ou posterior para mitigar o risco.
Como solução alternativa temporária, considere restringir o acesso ao menu “Adicionar documento” do módulo Biblioteca de Documentos até que um patch seja aplicado.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal