Anmelden
Deutsch English Español Polski
Kritisch

Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)

  • Veröffentlicht: 20.02.2024
  • Aktualisiert: 11.10.2026 13:20

In Liferay Portal 7.2.0 through 7.4.3.12, and older unsupported versions, and Liferay DXP 7.4 before update 9, 7.3 before update 4, 7.2 before fix pack 19, and older unsupported versions, the default configuration does not sanitize blog entries of JavaScript, which allows remote authenticated users to inject arbitrary web script or HTML (XSS) via a crafted payload injected into a blog entry’s content text field.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) com.liferay.portal:com.liferay.portal.web < 5.0.96 5.0.96
Java / Kotlin (Maven) com.liferay.portal:release.dxp.bom >= 7.4.0, < 7.4.13.u9, >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp19 7.4.13.u9, 7.3.10.u4, 7.2.10.fp19
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom < 7.4.3.13 7.4.3.13

Verweise

CVSS-Wert 9/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Schwäche (CWE)
CWE-1188
Plattform
Java / Kotlin (Maven)
Paket
com.liferay.portal:com.liferay.portal.web, com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom
Veröffentlicht
20.02.2024
Aktualisiert
11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vvpf-53qx-cxhh - CC BY 4.0

Schwachstellenhistorie: com.liferay.portal:release.portal.bom

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (159) im Archiv
Einträge insgesamt
159
Erste → letzte
05.2021 10.2025
Ohne Fix
33
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 18
  • Hoch 25
  • Mittel 115
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Liferay Portal Vulnerable to DoS via Crafted Headless API Request
    Hoch CVE-2025-62260 >= 7.4.0-ga1, < 7.4.3.100 7.4.3.100
  2. Liferay Portal Vulnerable to CSRF in Headless APIs
    Hoch CVE-2025-62258 >= 7.4.0-ga1, < 7.4.3.108 7.4.3.108
  3. Liferay Portal Vulnerable to Cross-Site Request Forgery
    Hoch CVE-2025-43748 >= 7.0.0-a1, < 7.4.3.120-ga120 7.4.3.120-ga120
  4. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Kritisch · 9.0 CVE-2024-38002 >= 7.3.2-ga3, < 7.4.3.112-ga112 7.4.3.112-ga112
  5. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Kritisch · 9.6 CVE-2024-8980 >= 7.0.0-a1, < 7.4.3.102-GA102 7.4.3.102-GA102
  6. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Hoch · 8.8 CVE-2024-26271 >= 7.4.3.75, < 7.4.3.112 7.4.3.112
  7. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26273 >= 7.4.0, < 7.4.3.104 7.4.3.104
  8. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26272 >= 7.3.2, < 7.4.3.108 7.4.3.108
  9. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2023-47795 >= 7.4.3.18, < 7.4.3.102 7.4.3.102
  10. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25603 < 7.4.3.5 7.4.3.5
  11. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-26269 >= 7.2.0, < 7.4.3.38 7.4.3.38
  12. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-26266 < 7.4.3.14 7.4.3.14
  13. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.0 CVE-2023-40191 >= 7.4.3.44, < 7.4.3.98 7.4.3.98
  14. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42498 >= 7.4.3.8, < 7.4.3.98 7.4.3.98
  15. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42496 >= 7.3.3, < 7.4.3.98 7.4.3.98
  16. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25601 <= 7.4.2 keine Korrektur
  17. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25602 <= 7.4.2 keine Korrektur
  18. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25152 <= 7.4.2 keine Korrektur
  19. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-25147 <= 7.4.1 keine Korrektur
  20. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults) dieser Eintrag
    Kritisch · 9.0 CVE-2024-25610 < 7.4.3.13 7.4.3.13
  21. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Hoch · 8.1 CVE-2024-25607 < 7.4.3.14 7.4.3.14
  22. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Hoch · 8.0 CVE-2024-25606 < 7.4.3.8 7.4.3.8
  23. Liferay Portal vulnerable to user impersonation
    Hoch · 8.1 CVE-2024-25148 >= 7.2.0, < 7.4.2 7.4.2
  24. Liferay Portal denial of service (memory consumption)
    Hoch · 6.5 CVE-2024-25143 >= 7.2.0, < 7.3.7 7.3.7
  25. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Kritisch · 9.6 CVE-2024-25145 < 7.4.3.12 7.4.3.12
  26. Liferay Portal XSS with `p_l_back_url_title` on edit content page
    Kritisch · 9.6 CVE-2023-47797 >= 7.4.3.94, < 7.4.3.96 7.4.3.96
  27. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Hoch · 8.8 CVE-2023-35030 >= 7.4.3.70-ga70, < 7.4.3.77-ga77 7.4.3.77-ga77
  28. SQL injection in Liferay Portal
    Hoch · 8.1 CVE-2023-33945 >= 7.3.1, < 7.4.3.18 7.4.3.18
  29. Missing authorization in Liferay portal
    Hoch · 7.5 CVE-2023-33948 >= 7.4.3.67, < 7.4.3.68 7.4.3.68
  30. Inefficient Regular Expression Complexity in Liferay Portal
    Hoch · 7.5 CVE-2022-42124 >= 7.3.2, < 7.4.3.5 7.4.3.5
  31. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Kritisch · 9.8 CVE-2022-42122 >= 7.3.7, < 7.4.0-ga1 7.4.0-ga1
  32. Path Traversal in Liferay Portal
    Hoch · 7.5 CVE-2022-42123 >= 7.3.3, < 7.4.3.19 7.4.3.19
  33. Path Traversal in Liferay Portal
    Hoch · 7.5 CVE-2022-42125 >= 7.4.3.5, < 7.4.3.48 7.4.3.48
  34. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Hoch · 7.2 CVE-2021-33335 >= 7.0.3, < 7.3.5 7.3.5
  35. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Hoch · 7.5 CVE-2021-33338 >= 7.1.0, < 7.3.3 7.3.3
  36. Liferay Portal and Liferay DXP insecure default configuration
    Hoch · 7.5 CVE-2021-33321 < 7.3.3 7.3.3
  37. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Hoch · 8.8 CVE-2021-29053 >= 7.3.5, < 7.3.6 7.3.6
  38. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Hoch · 7.5 CVE-2021-29047 >= 7.3.4, < 7.3.6 7.3.6
  39. Liferay Portal and Liferay DXP have Insecure Deserialization Vulnerability
    Hoch · 8.1 CVE-2020-15842 < 7.3.0 7.3.0
  40. Liferay Portal and Liferay DXP Potentially Reveal LDAP Server Password via Unsafe Connection
    Hoch · 8.3 CVE-2020-15841 < 7.3.0 7.3.0
Mehr anzeigen (3) 40 von 43 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.