PT-2021-20919 · Liferay · Liferay Portal

Publicado 2021-08-04 · Atualizado 2022-05-24 · CVE-2021-35463

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Liferay Portal versão 7.4.0

Descrição:

Uma vulnerabilidade de script entre sites (XSS) no módulo Frontend Taglib permite que invasores remotos injetem scripts da Web ou HTML arbitrários na pesquisa da barra de ferramentas de gerenciamento por meio do parâmetro keywords.

Recomendações:

Para o Liferay Portal versão 7.4.0, como solução temporária, considere restringir o acesso à pesquisa da barra de ferramentas de gerenciamento ou evitar o uso do parâmetro keywords até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-35463

GHSA-9H7F-5HC8-CJ5F

Produtos afetados

Liferay Portal

Referências · 12

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/751a70e0ed7b380ea2ab510ff79ddb33ed87dd9b · Nota
• https://osv.dev/vulnerability/CVE-2021-35463 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-35463 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9h7f-5hc8-cj5f · Aviso do Fabricante
• https://t.me/cvenotify/18628 · Publicação no Telegram
• https://t.me/cvenotify/18698 · Publicação no Telegram
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120850663 · Aviso do Fabricante
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2021-35463 · Nota
• https://t.me/cibsecurity/26807 · Publicação no Telegram
• https://t.me/cvenotify/29026 · Publicação no Telegram
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2021-35463-reflected-xss-with-keywords-in-search?p_r_p_assetEntryId=121611661&_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_redirect=https%3A%2F%2Fliferay.dev%3A443%2Fportal%2Fsecurity%2Fknown-vulnerabilities%3Fp_p_id%3Dcom_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt%26p_p_lifecycle%3D0%26p_p_state%3Dnormal%26p_p_mode%3Dview%26p_r_p_assetEntryId%3D121611661%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_jekt_cur%3D0%26p_r_p_resetCur%3Dfalse · Nota