Dxp
Уязвимости
39
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.01422
Распределение по критичности
Критический
2
Высокий
6
Средний
31
Низкий
0
Затронутые диапазоны версий
7.0–7.3< 7.3< 7.4
Также сопоставлено как (исходные строки): dxp,liferay_portal,digital_experience_platform
Топ уязвимостей
CVE-2022-42122Уязвимость SQL-инъекции в модуле Friendly Url в Liferay Portal 7.3.7 и Liferay DXP 7.3 fix pack 2 through update 4 позволяет злоумышленникам выполнять произвольные SQL-команды с помощью специально созданной полезной нагрузки, внедренной в поле `title` понятного URL-адреса.
CVE-2022-42120Уязвимость SQL-инъекции в модуле Fragment в Liferay Portal 7.3.3–7.4.3.16 и Liferay DXP 7.3 до обновления 4 и 7.4 до обновления 17 позволяет злоумышленникам выполнять произвольные SQL-команды через атрибут PortletPreferences `namespace`.
CVE-2023-35030Уязвимость межсайтовой подделки запросов (CSRF) в SEO-конфигурации модуля Layout в Liferay Portal версий 7.4.3.70 - 7.4.3.76 и Liferay DXP 7.4 update 70 - 76 позволяет удаленным злоумышленникам выполнять произвольный код в консоли сценариев через параметр `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.
CVE-2022-42121Уязвимость SQL-инъекции в модуле Layout в Liferay Portal 7.1.3–7.4.3.4 и Liferay DXP 7.1 до исправления 27, 7.2 до исправления 17, 7.3 до пакета обновления 3 и 7.4 GA позволяет удаленным аутентифицированным злоумышленникам выполнять произвольные SQL-команды с помощью специально созданной полезной нагрузки, внедренной в поле «Имя» шаблона страницы.
CVE-2021-29053Множественные уязвимости SQL-инъекций в Liferay Portal 7.3.5 и Liferay DXP 7.3 до исправления 1 позволяют удаленным аутентифицированным пользователям выполнять произвольные SQL-команды через параметр classPKField в (1) CommerceChannelRelFinder.countByC_C или (2) CommerceChannelRelFinder.findByC_C.
CVE-2024-25148В Liferay Portal 7.2.0–7.4.1 и более старых неподдерживаемых версиях, а также Liferay DXP 7.3 до пакета обновления 3, 7.2 до пакета исправлений 15 и более старых неподдерживаемых версиях параметр URL-адреса `doAsUserId` может быть раскрыт при создании связанного контента с использованием редактора WYSIWYG и при олицетворении пользователя. Это может позволить удаленным аутентифицированным пользователям олицетворять пользователя после доступа к связанному контенту.
CVE-2021-33321Небезопасная конфигурация по умолчанию в Liferay Portal 6.2.3 - 7.3.2 и Liferay DXP до 7.3 позволяет удаленным злоумышленникам перечислять адреса электронной почты пользователей через функцию восстановления пароля. Свойство portal.property login.secure.forgot.password должно быть установлено в значение true по умолчанию.
CVE-2021-29047Реализация SimpleCaptcha в Liferay Portal 7.3.4, 7.3.5 и Liferay DXP 7.3 до исправления 1 не делает недействительными ответы CAPTCHA после их использования, что позволяет удаленным злоумышленникам многократно выполнять действия, защищенные задачей CAPTCHA, повторно используя один и тот же ответ CAPTCHA.
CVE-2024-25144Виджет IFrame в Liferay Portal 7.2.0–7.4.3.26 и более старых неподдерживаемых версиях, а также Liferay DXP 7.4 до обновления 27, 7.3 до обновления 6, 7.2 до пакета исправлений 19 и более старых неподдерживаемых версий не проверяет URL-адрес IFrame, что позволяет удаленным аутентифицированным пользователям вызывать отказ в обслуживании (DoS) через самоссылающийся IFrame.
CVE-2022-38512Модуль перевода в Liferay Portal v7.4.3.12 до v7.4.3.36 и Liferay DXP 7.4 update 8 до 36 не проверяет разрешения, прежде чем разрешить пользователю экспортировать веб-контент для перевода, что позволяет злоумышленникам загружать файл перевода XLIFF веб-контента страницы через специально созданный URL.
CVE-2021-29041Уязвимость отказа в обслуживании (DoS) в модуле многофакторной аутентификации в Liferay DXP 7.3 до исправления 1 позволяет удаленным аутентифицированным злоумышленникам предотвратить аутентификацию любого пользователя путем (1) включения одноразового пароля на основе времени (TOTP) от имени другого пользователя или (2) изменения общего секрета TOTP другого пользователя.
CVE-2023-35029Уязвимость открытого перенаправления в SEO-конфигурации модуля Layout в Liferay Portal версий 7.4.3.70 - 7.4.3.76 и Liferay DXP 7.4 update 70 - 76 позволяет удаленным злоумышленникам перенаправлять пользователей на произвольные внешние URL-адреса через параметр `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.
CVE-2022-42118Уязвимость межсайтового скриптинга (XSS) в модуле Portal Search в Liferay Portal 7.1.0–7.4.2 и Liferay DXP 7.1 до исправления 27, 7.2 до исправления 15 и 7.3 до пакета обновления 3 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр `tag`.
CVE-2022-42117Уязвимость межсайтового скриптинга (XSS) в модуле Frontend Taglib в Liferay Portal 7.3.2–7.4.3.16 и Liferay DXP 7.3 до обновления 6 и 7.4 до обновления 17 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML.
CVE-2022-42116Уязвимость межсайтового скриптинга (XSS) в интеграции модуля Frontend Editor с CKEditor в Liferay Portal 7.3.2–7.4.3.14 и Liferay DXP 7.3 до обновления 6 и 7.4 до обновления 15 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр (1) имени или (2) пространства имен.
CVE-2022-42113Уязвимость межсайтового скриптинга (XSS) в модуле Document Library в Liferay Portal 7.4.3.30–7.4.3.36 и Liferay DXP 7.4 update 30 through update 36 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр `redirect`.
CVE-2022-42110Уязвимость межсайтового скриптинга (XSS) в модуле Announcements в Liferay Portal 7.1.0–7.4.2 и Liferay DXP 7.1 до исправления 27, 7.2 до исправления 17 и 7.3 до пакета обновления 3 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML.
CVE-2022-28982Уязвимость межсайтового скриптинга (XSS) в Liferay Portal v7.3.3 - v7.4.2 и Liferay DXP v7.3 до service pack 3 позволяет злоумышленникам выполнять произвольные веб-скрипты или HTML через специально созданную полезную нагрузку, внедренную в имя тега.
CVE-2022-28980Множественные уязвимости межсайтового скриптинга (XSS) в Liferay Portal v7.4.3.4 и Liferay DXP v7.4 GA позволяют злоумышленникам выполнять произвольные веб-скрипты или HTML через параметры с префиксом filter_.
CVE-2022-28979Обнаружена уязвимость межсайтового скриптинга (XSS) в виджете Custom Facet модуля Portal Search в Liferay Portal v7.1.0 - v7.4.2 и Liferay DXP 7.1 до fix pack 26, 7.2 до fix pack 15 и 7.3 до service pack 3. Эта уязвимость позволяет злоумышленникам выполнять произвольные веб-скрипты или HTML через специально созданную полезную нагрузку, внедренную в текстовое поле Custom Parameter Name.
CVE-2022-28977HtmlUtil.escapeRedirect в Liferay Portal 7.3.1 - 7.4.2 и Liferay DXP 7.0 fix pack 91 - 101, 7.1 fix pack 17 - 25, 7.2 fix pack 5 - 14 и 7.3 до service pack 3 можно обойти, используя несколько прямых слешей, что позволяет удаленным злоумышленникам перенаправлять пользователей на произвольные внешние URL-адреса через (1) параметр 'redirect`, (2) параметр `FORWARD_URL` и (3) другие параметры, которые зависят от HtmlUtil.escapeRedirect.
CVE-2021-29051Уязвимость межсайтового скриптинга (XSS) в приложении Asset Publisher модуля Asset в Liferay Portal 7.2.1 по 7.3.5 и Liferay DXP 7.1 до исправления 21, 7.2 до исправления 10 и 7.3 до исправления 1 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр _com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_XXXXXXXXXXXX_assetEntryId.
CVE-2021-29049Уязвимость межсайтового скриптинга (XSS) на странице редактирования процесса модуля Portal Workflow в Liferay DXP 7.0 до исправления 99, 7.1 до исправления 23, 7.2 до исправления 12 и 7.3 до исправления 1 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр currentURL.
CVE-2021-29048Уязвимость межсайтового скриптинга (XSS) на странице администрирования страниц модуля Layout в Liferay Portal 7.3.4, 7.3.5 и Liferay DXP 7.2 до исправления 11 и 7.3 до исправления 1 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр _com_liferay_layout_admin_web_portlet_GroupPagesPortlet_name.
CVE-2021-29046Уязвимость межсайтового скриптинга (XSS) в поле ввода селектора категорий модуля Asset в Liferay Portal 7.3.5 и Liferay DXP 7.3 до исправления 1 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title.