Iniciar sesión
Deutsch English Español Polski
Media

Liferay Portal Journal Module and Liferay DXP Vulnerable to Cross-Site Scripting (XSS)

  • Publicada: 24.05.2022
  • Actualizado: 11.10.2026 12:21

Cross-site scripting (XSS) vulnerability in the Journal module's add article menu in Liferay Portal 7.3.0 through 7.3.3, and Liferay DXP 7.1 fix pack 18, and 7.2 fix pack 5 through 7, allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_journal_web_portlet_JournalPortlet_name parameter.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) com.liferay.portal:release.dxp.bom >= 7.1.0, < 7.1.10.fp18, >= 7.2.10.fp5, < 7.2.10.fp7 7.1.10.fp18, 7.2.10.fp7
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom >= 7.3.0, < 7.3.4 7.3.4

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Java / Kotlin (Maven)
Paquete
com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom
Publicada
24.05.2022
Actualizado
11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fvg6-9r88-7w85 - CC BY 4.0

Historial de vulnerabilidades: com.liferay.portal:release.dxp.bom

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (125) en el archivo
Entradas en total
125
Primera → última
02.2022 09.2025
Sin corrección
8
Explotada en ataques
0

Distribución por gravedad

  • Crítica 24
  • Alta 19
  • Media 82

Divulgaciones por año

Gravedad:
  1. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Crítica · 9.0 CVE-2024-38002 >= 2023.Q4.0, < 2023.Q4.6, >= 2023.Q3.1, < 2023.Q3.9, >= 7.3-ga, < 7.3.10.u36, >= 7.4-ga, < 7.4.13.u92 2023.Q4.6, 2023.Q3.9, 7.3.10.u36, 7.4.13.u92
  2. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Crítica · 9.6 CVE-2024-8980 >= 2023.Q3.1, < 2023.Q3.5, >= 7.0.0-GA, <= 7.0.10.fp102, >= 7.1.0-GA, <= 7.1.10.fp28, >= 7.2.0.GA, <= 7.2.10.fp20, >= 7.3.0-GA, < 7.3.10.u36, >= 7.4.0-GA, <= 7.4.13.u92 2023.Q3.5, 7.3.10.u36
  3. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Alta · 8.8 CVE-2024-26271 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.3u32, < 7.3u37, >= 7.4u75, < 7.4u93 2023.Q4.3, 2023.Q3.6, 7.3u37, 7.4u93
  4. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Alta · 8.8 CVE-2024-26273 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.4.GA, < 7.4u93, >= 7.3u29, < 7.3u36 2023.Q4.3, 2023.Q3.6, 7.4u93, 7.3u36
  5. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Alta · 8.8 CVE-2024-26272 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.3.GA, < 7.3u36, >= 7.4.GA, < 7.4u93 2023.Q4.3, 2023.Q3.6, 7.3u36, 7.4u93
  6. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2023-47795 >= 2023.Q3, < 2023.Q3.6, >= 7.4.13.u18, <= 7.4.13.u92 2023.Q3.6
  7. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25603 >= 7.4.13.u1, <= 7.4.13.u102, >= 7.3.10.ep3, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  8. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Crítica · 9.6 CVE-2024-26269 >= 7.4.13.u1, < 7.4.13.u38, >= 7.3.10.ep3, < 7.3.10.u11, >= 7.2.0, < 7.2.10.fp20 7.4.13.u38, 7.3.10.u11, 7.2.10.fp20
  9. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-26266 >= 7.4.13.u1, < 7.4.13.u10, >= 7.3.10.ep3, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.4.13.u10, 7.3.10.u4, 7.2.10.fp17
  10. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.0 CVE-2023-40191 >= 2023.Q3, < 2023.Q3.6, >= 7.4.13.u44, <= 7.4.13.u92 2023.Q3.6
  11. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.6 CVE-2023-42498 >= 2023.Q3, < 2023.Q3.5, >= 7.4.13.u4, <= 7.4.13.u92 2023.Q3.5
  12. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Crítica · 9.6 CVE-2023-42496 >= 7.4.10.ep1, <= 7.4.13.u92, >= 7.3.10.ep3, < 7.3.10.u34, >= 2023.Q3, < 2023.Q3.6 7.3.10.u34, 2023.Q3.6
  13. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25601 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  14. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25602 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  15. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Crítica · 9.0 CVE-2024-25152 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  16. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Crítica · 9.6 CVE-2024-25147 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp15 7.3.10.u4, 7.2.10.fp15
  17. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery in Terms of Use Page
    Alta · 8.8 CVE-2021-29050 >= 7.2.0, < 7.2.10.fp11 7.2.10.fp11
  18. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Crítica · 9.0 CVE-2024-25610 >= 7.4.0, < 7.4.13.u9, >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp19 7.4.13.u9, 7.3.10.u4, 7.2.10.fp19
  19. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Alta · 8.1 CVE-2024-25607 >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp17, >= 7.4.0, < 7.4.13.u16 7.3.10.u4, 7.2.10.fp17, 7.4.13.u16
  20. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Alta · 8.0 CVE-2024-25606 >= 7.3.0, < 7.3.10.u12, >= 7.4.0, < 7.4.13.u4, < 7.2.10.fp20 7.3.10.u12, 7.4.13.u4, 7.2.10.fp20
  21. Liferay Portal vulnerable to user impersonation
    Alta · 8.1 CVE-2024-25148 >= 7.2.0, < 7.2.10.fp15, >= 7.3.0, < 7.3.10.u4 7.2.10.fp15, 7.3.10.u4
  22. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Crítica · 9.6 CVE-2024-25145 >= 7.4.0, < 7.4.3.13u8, >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp17 7.4.3.13u8, 7.3.10.u4, 7.2.10.fp17
  23. Liferay Portal and Liferay DXP Vulnerable to XSS in the Commerce Module
    Crítica · 9.6 CVE-2023-42627 >= 7.3.0, <= 7.3.10.u33, >= 7.4.0, <= 7.4.13.u92 sin corrección
  24. Liferay Portal and Liferay DXP Vulnerable to XSS in the Wiki Widget
    Crítica · 9.0 CVE-2023-42628 >= 7.0.10.fp83, <= 7.0.10.fp102, >= 7.1.0, <= 7.1.10.fp28, >= 7.2.0, <= 7.2.10.fp20, >= 7.3.0, < 7.3.10.u34, >= 7.4.0, < 7.4.13.u88 7.3.10.u34, 7.4.13.u88
  25. Liferay Portal and Liferay DXP Vulnerable to XSS via the OAuth2ProviderApplicationRedirect Class
    Crítica · 9.6 CVE-2023-44311 >= 7.4.13.u41, < 7.4.13.u90 7.4.13.u90
  26. Liferay Portal and Liferay DXP Vulnerable to XSS via the Page Tree Menu
    Crítica · 9.0 CVE-2023-44310 >= 7.3.10.fp1, <= 7.3.10.fp23, >= 7.4.0, < 7.4.13.u79 7.4.13.u79
  27. Liferay Portal and Liferay DXP Vulnerable to XSS in the Fragment Components
    Crítica · 9.0 CVE-2023-44309 >= 7.4.0, < 7.4.13.u54 7.4.13.u54
  28. Liferay Portal and Liferay DXP Vulnerable to Stored XSS in the Manage Vocabulary Page
    Crítica · 9.0 CVE-2023-42629 >= 7.4.0, < 7.4.13.u88 7.4.13.u88
  29. Liferay Portal and Liferay DXP Vulnerable to Reflected XSS via the Export for Translation Page
    Crítica · 9.6 CVE-2023-42497 >= 7.4.0, < 7.4.13.u86 7.4.13.u86
  30. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Alta · 8.8 CVE-2023-35030 >= 7.4.13.u70, <= 7.4.13.u76 sin corrección
  31. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Crítica · 9.8 CVE-2022-42122 >= 7.3.10.fp2, < 7.3.10.u4 7.3.10.u4
  32. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via the Fragment Module
    Crítica · 9.8 CVE-2022-42120 >= 7.3.0, < 7.3.10.u4, >= 7.4.0, < 7.4.13.u17 7.3.10.u4, 7.4.13.u17
  33. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via the Layout Module
    Alta · 8.8 CVE-2022-42121 >= 7.1.0, < 7.1.10.fp27, >= 7.2.0, < 7.2.10.fp17 7.1.10.fp27, 7.2.10.fp17
  34. Liferay Portal and Liferay DXP fails to invalidate password reset tokens after use
    Alta · 7.5 CVE-2021-33322 >= 7.0.0, < 7.0.10.fp96, >= 7.1.0, < 7.1.10.fp18, >= 7.2.0, < 7.2.10.fp5 7.0.10.fp96, 7.1.10.fp18, 7.2.10.fp5
  35. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Alta · 7.2 CVE-2021-33335 >= 7.1.0, < 7.1.10.fp20, >= 7.2.0, < 7.2.10.fp9 7.1.10.fp20, 7.2.10.fp9
  36. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Alta · 7.5 CVE-2021-33338 >= 7.1.0, < 7.1.10.fp19, >= 7.2.0, < 7.2.10.fp6 7.1.10.fp19, 7.2.10.fp6
  37. Liferay Portal Journal Module and Liferay DXP Vulnerable to Cross-Site Scripting (XSS) esta entrada
    Media · 5.4 CVE-2021-33336 >= 7.1.0, < 7.1.10.fp18, >= 7.2.10.fp5, < 7.2.10.fp7 7.1.10.fp18, 7.2.10.fp7
  38. Liferay Portal and Liferay DXP autosaves form data for other users to see
    Alta · 7.5 CVE-2021-33323 >= 7.1.0, < 7.1.10.fp19, >= 7.2.0, < 7.2.10.fp7 7.1.10.fp19, 7.2.10.fp7
  39. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Alta · 8.8 CVE-2021-29053 < 7.3.10.fp1 7.3.10.fp1
  40. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Alta · 7.5 CVE-2021-29047 < 7.3.10.fp1 7.3.10.fp1
Mostrar más (4) Mostrando 40 de 44

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.