CVE-2024-26266

Liferay Portal, versões 7.2.0 a 7.4.3.13

Liferay DXP 7.4 anterior à atualização 10

Liferay DXP 7.3 anterior à atualização 4

Liferay DXP 7.2 anterior ao pacote de correções 17

Versões antigas não suportadas do Liferay DXP

Versões antigas não suportadas do Liferay Portal

Várias vulnerabilidades de cross-site scripting (XSS) armazenadas permitem que usuários remotos autenticados injetem scripts web ou HTML arbitrários por meio de uma carga maliciosa injetada no campo de texto de nome/sobrenome do usuário que cria uma entrada no widget Anúncios ou no widget Alertas.

Para as versões do Liferay Portal 7.2.0 a 7.4.3.13, atualize para uma versão fora desse intervalo para mitigar o risco.

Para o Liferay DXP 7.4 antes da atualização 10, aplique a atualização 10 para resolver o problema.

Para o Liferay DXP 7.3 antes da atualização 4, aplique a atualização 4 para resolver o problema.

Para o Liferay DXP 7.2 anterior ao fix pack 17, aplique o fix pack 17 para resolver o problema.

Para versões mais antigas e sem suporte do Liferay DXP e do Liferay Portal, considere atualizar para uma versão com suporte para garantir que os patches de segurança sejam aplicados.

Como solução alternativa temporária, considere restringir o acesso aos widgets Anúncios e Alertas até que um patch esteja disponível.