CVE-2021-38267

Versões 7.3.2 a 7.3.6 do Liferay Portal

Liferay DXP 7.3 anterior ao fix pack 2

Existe uma vulnerabilidade de cross-site scripting (XSS) na página de edição de entradas do módulo Blogs, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio dos parâmetros com liferay blogs web portlet BlogsAdminPortlet title e com liferay blogs web portlet BlogsAdminPortlet subtitle.

Para as versões 7.3.2 a 7.3.6 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.

Para o Liferay DXP 7.3 antes do fix pack 2, aplique o fix pack 2 ou posterior para corrigir a vulnerabilidade.

Como solução alternativa temporária, considere restringir o acesso à página de edição de entradas do módulo Blogs até que um patch esteja disponível.

Evite usar os parâmetros com liferay blogs web portlet BlogsAdminPortlet title e com liferay blogs web portlet BlogsAdminPortlet subtitle no endpoint da API afetado até que o problema seja resolvido.