CVE-2020-25476

**Nome do software vulnerável e versões afetadas:

Portal Liferay CMS, versões 7.1.3 a 7.2.1

Descrição:

O problema é uma vulnerabilidade de cross-site scripting (XSS) cega e persistente no parâmetro de nome de usuário do Calendário. Um invasor pode inserir uma carga maliciosa nos campos username, lastname ou surname de seu próprio perfil, e a carga maliciosa será injetada e refletida no calendário do usuário que enviou a carga. Isso poderia permitir que um invasor elevasse seus privilégios se um administrador visitasse o calendário no qual a carga foi injetada.

Recomendações:

Para o Liferay CMS Portal versão 7.1.3, atualize para uma versão que corrija a vulnerabilidade XSS cega persistente.

Para o Liferay CMS Portal versão 7.2.1, atualize para uma versão que corrija a vulnerabilidade XSS cega persistente.

Como solução alternativa temporária, considere restringir o acesso ao recurso Calendário para minimizar o risco de exploração.