Iniciar sesión
Deutsch English Español Polski
Media

Liferay Portal Vulnerable to Persistent Cross-Site Scripting (XSS) in MyAccountPortlet

  • Publicada: 24.05.2022
  • Actualizado: 11.10.2026 12:21

In LifeRay Portal CE 7.1.0 through 7.2.1, the First Name, Middle Name, and Last Name fields for user accounts in MyAccountPortlet are all vulnerable to a persistent XSS issue. Any user can modify these fields with a particular XSS payload, and it will be stored in the database. The payload will then be rendered when a user utilizes the search feature to search for other users (i.e., if a user with modified fields occurs in the search results).

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom >= 7.1.0, < 7.3.0 7.3.0

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Java / Kotlin (Maven)
Paquete
com.liferay.portal:release.portal.bom
Publicada
24.05.2022
Actualizado
11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-f99h-h678-fgg4 - CC BY 4.0

Historial de vulnerabilidades: com.liferay.portal:release.portal.bom

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (159) en el archivo
Entradas en total
159
Primera → última
05.2021 10.2025
Sin corrección
33
Explotada en ataques
0

Distribución por gravedad

  • Crítica 18
  • Alta 25
  • Media 115
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Liferay Portal Vulnerable to Persistent Cross-Site Scripting (XSS) in MyAccountPortlet esta entrada
    Media · 5.4 CVE-2020-7934 >= 7.1.0, < 7.3.0 7.3.0
  2. Liferay Portal Vulnerable to DoS via Crafted Headless API Request
    Alta CVE-2025-62260 >= 7.4.0-ga1, < 7.4.3.100 7.4.3.100
  3. Liferay Portal Vulnerable to CSRF in Headless APIs
    Alta CVE-2025-62258 >= 7.4.0-ga1, < 7.4.3.108 7.4.3.108
  4. Liferay Portal Vulnerable to Cross-Site Request Forgery
    Alta CVE-2025-43748 >= 7.0.0-a1, < 7.4.3.120-ga120 7.4.3.120-ga120
  5. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Crítica · 9.0 CVE-2024-38002 >= 7.3.2-ga3, < 7.4.3.112-ga112 7.4.3.112-ga112
  6. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Crítica · 9.6 CVE-2024-8980 >= 7.0.0-a1, < 7.4.3.102-GA102 7.4.3.102-GA102
  7. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Alta · 8.8 CVE-2024-26271 >= 7.4.3.75, < 7.4.3.112 7.4.3.112
  8. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Alta · 8.8 CVE-2024-26273 >= 7.4.0, < 7.4.3.104 7.4.3.104
  9. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Alta · 8.8 CVE-2024-26272 >= 7.3.2, < 7.4.3.108 7.4.3.108
  10. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2023-47795 >= 7.4.3.18, < 7.4.3.102 7.4.3.102
  11. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25603 < 7.4.3.5 7.4.3.5
  12. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Crítica · 9.6 CVE-2024-26269 >= 7.2.0, < 7.4.3.38 7.4.3.38
  13. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-26266 < 7.4.3.14 7.4.3.14
  14. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.0 CVE-2023-40191 >= 7.4.3.44, < 7.4.3.98 7.4.3.98
  15. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.6 CVE-2023-42498 >= 7.4.3.8, < 7.4.3.98 7.4.3.98
  16. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.6 CVE-2023-42496 >= 7.3.3, < 7.4.3.98 7.4.3.98
  17. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25601 <= 7.4.2 sin corrección
  18. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25602 <= 7.4.2 sin corrección
  19. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25152 <= 7.4.2 sin corrección
  20. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Crítica · 9.6 CVE-2024-25147 <= 7.4.1 sin corrección
  21. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Crítica · 9.0 CVE-2024-25610 < 7.4.3.13 7.4.3.13
  22. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Alta · 8.1 CVE-2024-25607 < 7.4.3.14 7.4.3.14
  23. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Alta · 8.0 CVE-2024-25606 < 7.4.3.8 7.4.3.8
  24. Liferay Portal vulnerable to user impersonation
    Alta · 8.1 CVE-2024-25148 >= 7.2.0, < 7.4.2 7.4.2
  25. Liferay Portal denial of service (memory consumption)
    Alta · 6.5 CVE-2024-25143 >= 7.2.0, < 7.3.7 7.3.7
  26. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Crítica · 9.6 CVE-2024-25145 < 7.4.3.12 7.4.3.12
  27. Liferay Portal XSS with `p_l_back_url_title` on edit content page
    Crítica · 9.6 CVE-2023-47797 >= 7.4.3.94, < 7.4.3.96 7.4.3.96
  28. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Alta · 8.8 CVE-2023-35030 >= 7.4.3.70-ga70, < 7.4.3.77-ga77 7.4.3.77-ga77
  29. SQL injection in Liferay Portal
    Alta · 8.1 CVE-2023-33945 >= 7.3.1, < 7.4.3.18 7.4.3.18
  30. Missing authorization in Liferay portal
    Alta · 7.5 CVE-2023-33948 >= 7.4.3.67, < 7.4.3.68 7.4.3.68
  31. Inefficient Regular Expression Complexity in Liferay Portal
    Alta · 7.5 CVE-2022-42124 >= 7.3.2, < 7.4.3.5 7.4.3.5
  32. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Crítica · 9.8 CVE-2022-42122 >= 7.3.7, < 7.4.0-ga1 7.4.0-ga1
  33. Path Traversal in Liferay Portal
    Alta · 7.5 CVE-2022-42123 >= 7.3.3, < 7.4.3.19 7.4.3.19
  34. Path Traversal in Liferay Portal
    Alta · 7.5 CVE-2022-42125 >= 7.4.3.5, < 7.4.3.48 7.4.3.48
  35. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Alta · 7.2 CVE-2021-33335 >= 7.0.3, < 7.3.5 7.3.5
  36. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Alta · 7.5 CVE-2021-33338 >= 7.1.0, < 7.3.3 7.3.3
  37. Liferay Portal and Liferay DXP insecure default configuration
    Alta · 7.5 CVE-2021-33321 < 7.3.3 7.3.3
  38. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Alta · 8.8 CVE-2021-29053 >= 7.3.5, < 7.3.6 7.3.6
  39. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Alta · 7.5 CVE-2021-29047 >= 7.3.4, < 7.3.6 7.3.6
  40. Liferay Portal and Liferay DXP have Insecure Deserialization Vulnerability
    Alta · 8.1 CVE-2020-15842 < 7.3.0 7.3.0
  41. Liferay Portal and Liferay DXP Potentially Reveal LDAP Server Password via Unsafe Connection
    Alta · 8.3 CVE-2020-15841 < 7.3.0 7.3.0
Mostrar más (3) Mostrando 41 de 44

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.