Anmelden
Deutsch English Español Polski
Mittel

Liferay Portal allows attackers to discover the existence of sites

  • Veröffentlicht: 08.02.2024
  • Aktualisiert: 11.10.2026 11:22

Liferay Portal 7.2.0 through 7.4.1, and older unsupported versions, and Liferay DXP 7.3 before service pack 3, 7.2 before fix pack 18, and older unsupported versions returns with different responses depending on whether a site does not exist or if the user does not have permission to access the site, which allows remote attackers to discover the existence of sites by enumerating URLs. This vulnerability occurs if locale.prepend.friendly.url.style=2 and if a custom 404 page is used.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) com.liferay.portal:release.dxp.bom >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp18 7.3.10.u4, 7.2.10.fp18
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom >= 7.2.0, < 7.4.2 7.4.2

Verweise

CVSS-Wert 5.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE)
CWE-203, CWE-204
Plattform
Java / Kotlin (Maven)
Paket
com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom
Veröffentlicht
08.02.2024
Aktualisiert
11.10.2026 11:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-mqf8-4cqm-p83x - CC BY 4.0

Schwachstellenhistorie: com.liferay.portal:release.portal.bom

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (159) im Archiv
Einträge insgesamt
159
Erste → letzte
05.2021 10.2025
Ohne Fix
33
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 18
  • Hoch 25
  • Mittel 115
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Liferay Portal allows attackers to discover the existence of sites dieser Eintrag
    Mittel · 5.3 CVE-2024-25146 >= 7.2.0, < 7.4.2 7.4.2
  2. Liferay Portal Vulnerable to DoS via Crafted Headless API Request
    Hoch CVE-2025-62260 >= 7.4.0-ga1, < 7.4.3.100 7.4.3.100
  3. Liferay Portal Vulnerable to CSRF in Headless APIs
    Hoch CVE-2025-62258 >= 7.4.0-ga1, < 7.4.3.108 7.4.3.108
  4. Liferay Portal Vulnerable to Cross-Site Request Forgery
    Hoch CVE-2025-43748 >= 7.0.0-a1, < 7.4.3.120-ga120 7.4.3.120-ga120
  5. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Kritisch · 9.0 CVE-2024-38002 >= 7.3.2-ga3, < 7.4.3.112-ga112 7.4.3.112-ga112
  6. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Kritisch · 9.6 CVE-2024-8980 >= 7.0.0-a1, < 7.4.3.102-GA102 7.4.3.102-GA102
  7. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Hoch · 8.8 CVE-2024-26271 >= 7.4.3.75, < 7.4.3.112 7.4.3.112
  8. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26273 >= 7.4.0, < 7.4.3.104 7.4.3.104
  9. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26272 >= 7.3.2, < 7.4.3.108 7.4.3.108
  10. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2023-47795 >= 7.4.3.18, < 7.4.3.102 7.4.3.102
  11. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25603 < 7.4.3.5 7.4.3.5
  12. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-26269 >= 7.2.0, < 7.4.3.38 7.4.3.38
  13. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-26266 < 7.4.3.14 7.4.3.14
  14. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.0 CVE-2023-40191 >= 7.4.3.44, < 7.4.3.98 7.4.3.98
  15. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42498 >= 7.4.3.8, < 7.4.3.98 7.4.3.98
  16. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42496 >= 7.3.3, < 7.4.3.98 7.4.3.98
  17. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25601 <= 7.4.2 keine Korrektur
  18. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25602 <= 7.4.2 keine Korrektur
  19. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25152 <= 7.4.2 keine Korrektur
  20. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-25147 <= 7.4.1 keine Korrektur
  21. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Kritisch · 9.0 CVE-2024-25610 < 7.4.3.13 7.4.3.13
Mehr anzeigen (20) 21 von 44 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.