PT-2021-20120
CVE-2021-33339
·
Publicado
2021-08-04
·
Atualizado
2022-05-24
Descrição por
CVSS 3.1
4.8
MédiaMétricasAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Liferay Portal 7.2.1 a 7.3.4
Liferay DXP 7.2 anterior ao pacote de correções 9
Descrição
Uma vulnerabilidade de cross-site scripting (XSS) no módulo Fragment permite que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro
com liferay site admin web portlet SiteAdminPortlet name. Isso permite que invasores executem scripts maliciosos no navegador da vítima.Recomendações
Para as versões 7.2.1 a 7.3.4 do Liferay Portal, atualize para uma versão fora desse intervalo ou aplique a correção necessária.
Para o Liferay DXP 7.2, aplique o fix pack 9 ou posterior para resolver a vulnerabilidade.
Como solução alternativa temporária, considere restringir o acesso ao módulo Fragment até que um patch esteja disponível.
Evite usar o parâmetro
com liferay site admin web portlet SiteAdminPortlet name nos endpoints de API afetados até que o problema seja resolvido.Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾