CVE-2021-29049

**Nome do software vulnerável e versões afetadas:

Versões do Liferay DXP 7.0 a 7.0, anteriores ao fix pack 99

Versões do Liferay DXP 7.1 a 7.1, anteriores ao fix pack 23

Versões do Liferay DXP 7.2 a 7.2, anteriores ao fix pack 12

Versões do Liferay DXP 7.3 a 7.3, anteriores ao fix pack 1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) na página de edição do processo do módulo Portal Workflow, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro currentURL.

Recomendações:

Para o Liferay DXP versão 7.0 anterior ao fix pack 99, atualize para o fix pack 99 ou posterior.

Para o Liferay DXP versão 7.1 antes do fix pack 23, atualize para o fix pack 23 ou posterior.

Para o Liferay DXP versão 7.2 antes do fix pack 12, atualize para o fix pack 12 ou posterior.

Para o Liferay DXP versão 7.3 antes do fix pack 1, atualize para o fix pack 1 ou posterior.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro currentURL no endpoint da API afetado até que um patch esteja disponível.