CVE-2021-29051

**Nome do software vulnerável e versões afetadas:

Liferay Portal, versões 7.2.1 a 7.3.5

Liferay DXP, versões 7.1 anteriores ao fix pack 21

Liferay DXP, versões 7.2 anteriores ao fix pack 10

Liferay DXP, versões 7.3 anteriores ao fix pack 1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) no aplicativo Asset Publisher do módulo Asset, permitindo que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro com liferay asset publisher web portlet AssetPublisherPortlet INSTANCE XXXXXXXXXXXX assetEntryId. Isso permite que invasores executem scripts maliciosos no navegador da vítima.

Recomendações:

Para as versões 7.2.1 a 7.3.5 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.

Para a versão 7.1 do Liferay DXP, aplique o fix pack 21 ou posterior.

Para a versão 7.2 do Liferay DXP, aplique o fix pack 10 ou posterior.

Para o Liferay DXP versão 7.3, aplique o fix pack 1 ou posterior.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro com liferay asset publisher web portlet AssetPublisherPortlet INSTANCE XXXXXXXXXXXX assetEntryId no aplicativo Asset Publisher para minimizar o risco de exploração.