CVE-2022-42129

Liferay Portal, versões 7.3.2 a 7.4.3.4

Liferay DXP, versões 7.3 anteriores à atualização 4 e 7.4 GA

Uma vulnerabilidade de referência direta a objeto insegura (IDOR) no módulo Dynamic Data Mapping permite que usuários remotos autenticados visualizem e acessem entradas de formulário por meio do parâmetro formInstanceRecordId.

Para as versões do Liferay Portal 7.3.2 a 7.4.3.4, atualize para uma versão fora desse intervalo para resolver o problema.

Para o Liferay DXP versão 7.3 antes da atualização 4, aplique a atualização 4 ou posterior para corrigir a vulnerabilidade.

Para o Liferay DXP versão 7.4 GA, considere desativar o módulo Dynamic Data Mapping ou restringir o acesso ao parâmetro formInstanceRecordId até que um patch esteja disponível.