CVE-2021-29044

**Nome do software vulnerável e versões afetadas:

Liferay Portal, versões 7.0.0 a 7.3.5

Liferay DXP 7.0 antes do fix pack 97

Liferay DXP 7.1 antes do fix pack 21

Liferay DXP 7.2 antes do fix pack 10

Liferay DXP 7.3 antes do fix pack 1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) nas páginas de administração de solicitações de adesão do módulo Site. Isso permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro com liferay site my sites web portlet MySitesPortlet comments.

Recomendações:

Para as versões 7.0.0 a 7.3.5 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.

Para o Liferay DXP 7.0, aplique o fix pack 97 ou posterior.

Para o Liferay DXP 7.1, aplique o fix pack 21 ou posterior.

Para o Liferay DXP 7.2, aplique o fix pack 10 ou posterior.

Para o Liferay DXP 7.3, aplique o fix pack 1 ou posterior.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro com liferay site my sites web portlet MySitesPortlet comments no endpoint da API afetado até que um patch esteja disponível.