CVE-2022-42116

Versões do Liferay Portal de 7.3.2 a 7.4.3.14

Versões do Liferay DXP 7.3 anteriores à atualização 6

Versões do Liferay DXP 7.4 anteriores à atualização 15

Existe uma vulnerabilidade de Cross-site scripting (XSS) devido à integração do módulo Frontend Editor com o CKEditor. Isso permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio dos parâmetros name ou namespace.

Para as versões do Liferay Portal 7.3.2 a 7.4.3.14, atualize para uma versão fora desse intervalo para resolver o problema.

Para as versões 7.3 do Liferay DXP anteriores à atualização 6, aplique a atualização 6 ou posterior para corrigir a vulnerabilidade.

Para as versões 7.4 do Liferay DXP anteriores à atualização 15, aplique a atualização 15 ou posterior para corrigir a vulnerabilidade.

Como solução temporária, considere restringir o acesso à integração do CKEditor no módulo Frontend Editor até que um patch esteja disponível. Evite usar os parâmetros name e namespace no módulo afetado até que o problema seja resolvido.