Anmelden
Deutsch English Español Polski
Mittel

Liferay Portal Vulnerable to Cross-Site Scripting via DDMPortlet_definition Parameter

  • Veröffentlicht: 20.08.2025
  • Aktualisiert: 11.10.2026 12:22

A reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.Q2.2, 2025.Q1.0 through 2025.Q1.14, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.1 through 2024.Q3.13, 2024.Q2.1 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.18 and 7.4 GA through update 92 allows a remote authenticated attacker to inject JavaScript code via _com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition parameter.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom >= 7.4.0-ga1, <= 7.4.3.132-ga132 keine Korrektur

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Schwäche (CWE)
CWE-79
Plattform
Java / Kotlin (Maven)
Paket
com.liferay.portal:release.portal.bom
Veröffentlicht
20.08.2025
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-62pf-hcwj-rcfc - CC BY 4.0

Schwachstellenhistorie: com.liferay.portal:release.portal.bom

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (159) im Archiv
Einträge insgesamt
159
Erste → letzte
05.2021 10.2025
Ohne Fix
33
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 18
  • Hoch 25
  • Mittel 115
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Liferay Portal Vulnerable to DoS via Crafted Headless API Request
    Hoch CVE-2025-62260 >= 7.4.0-ga1, < 7.4.3.100 7.4.3.100
  2. Liferay Portal Vulnerable to CSRF in Headless APIs
    Hoch CVE-2025-62258 >= 7.4.0-ga1, < 7.4.3.108 7.4.3.108
  3. Liferay Portal Vulnerable to Cross-Site Scripting via DDMPortlet_definition Parameter dieser Eintrag
    Mittel CVE-2025-43757 >= 7.4.0-ga1, <= 7.4.3.132-ga132 keine Korrektur
  4. Liferay Portal Vulnerable to Cross-Site Request Forgery
    Hoch CVE-2025-43748 >= 7.0.0-a1, < 7.4.3.120-ga120 7.4.3.120-ga120
  5. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Kritisch · 9.0 CVE-2024-38002 >= 7.3.2-ga3, < 7.4.3.112-ga112 7.4.3.112-ga112
  6. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Kritisch · 9.6 CVE-2024-8980 >= 7.0.0-a1, < 7.4.3.102-GA102 7.4.3.102-GA102
  7. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Hoch · 8.8 CVE-2024-26271 >= 7.4.3.75, < 7.4.3.112 7.4.3.112
  8. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26273 >= 7.4.0, < 7.4.3.104 7.4.3.104
  9. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Hoch · 8.8 CVE-2024-26272 >= 7.3.2, < 7.4.3.108 7.4.3.108
  10. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2023-47795 >= 7.4.3.18, < 7.4.3.102 7.4.3.102
  11. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25603 < 7.4.3.5 7.4.3.5
  12. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-26269 >= 7.2.0, < 7.4.3.38 7.4.3.38
  13. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-26266 < 7.4.3.14 7.4.3.14
  14. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.0 CVE-2023-40191 >= 7.4.3.44, < 7.4.3.98 7.4.3.98
  15. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42498 >= 7.4.3.8, < 7.4.3.98 7.4.3.98
  16. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Kritisch · 9.6 CVE-2023-42496 >= 7.3.3, < 7.4.3.98 7.4.3.98
  17. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25601 <= 7.4.2 keine Korrektur
  18. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25602 <= 7.4.2 keine Korrektur
  19. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2024-25152 <= 7.4.2 keine Korrektur
  20. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Kritisch · 9.6 CVE-2024-25147 <= 7.4.1 keine Korrektur
  21. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Kritisch · 9.0 CVE-2024-25610 < 7.4.3.13 7.4.3.13
  22. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Hoch · 8.1 CVE-2024-25607 < 7.4.3.14 7.4.3.14
  23. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Hoch · 8.0 CVE-2024-25606 < 7.4.3.8 7.4.3.8
  24. Liferay Portal vulnerable to user impersonation
    Hoch · 8.1 CVE-2024-25148 >= 7.2.0, < 7.4.2 7.4.2
  25. Liferay Portal denial of service (memory consumption)
    Hoch · 6.5 CVE-2024-25143 >= 7.2.0, < 7.3.7 7.3.7
  26. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Kritisch · 9.6 CVE-2024-25145 < 7.4.3.12 7.4.3.12
  27. Liferay Portal XSS with `p_l_back_url_title` on edit content page
    Kritisch · 9.6 CVE-2023-47797 >= 7.4.3.94, < 7.4.3.96 7.4.3.96
  28. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Hoch · 8.8 CVE-2023-35030 >= 7.4.3.70-ga70, < 7.4.3.77-ga77 7.4.3.77-ga77
  29. SQL injection in Liferay Portal
    Hoch · 8.1 CVE-2023-33945 >= 7.3.1, < 7.4.3.18 7.4.3.18
  30. Missing authorization in Liferay portal
    Hoch · 7.5 CVE-2023-33948 >= 7.4.3.67, < 7.4.3.68 7.4.3.68
  31. Inefficient Regular Expression Complexity in Liferay Portal
    Hoch · 7.5 CVE-2022-42124 >= 7.3.2, < 7.4.3.5 7.4.3.5
  32. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Kritisch · 9.8 CVE-2022-42122 >= 7.3.7, < 7.4.0-ga1 7.4.0-ga1
  33. Path Traversal in Liferay Portal
    Hoch · 7.5 CVE-2022-42123 >= 7.3.3, < 7.4.3.19 7.4.3.19
  34. Path Traversal in Liferay Portal
    Hoch · 7.5 CVE-2022-42125 >= 7.4.3.5, < 7.4.3.48 7.4.3.48
  35. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Hoch · 7.2 CVE-2021-33335 >= 7.0.3, < 7.3.5 7.3.5
  36. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Hoch · 7.5 CVE-2021-33338 >= 7.1.0, < 7.3.3 7.3.3
  37. Liferay Portal and Liferay DXP insecure default configuration
    Hoch · 7.5 CVE-2021-33321 < 7.3.3 7.3.3
  38. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Hoch · 8.8 CVE-2021-29053 >= 7.3.5, < 7.3.6 7.3.6
  39. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Hoch · 7.5 CVE-2021-29047 >= 7.3.4, < 7.3.6 7.3.6
  40. Liferay Portal and Liferay DXP have Insecure Deserialization Vulnerability
    Hoch · 8.1 CVE-2020-15842 < 7.3.0 7.3.0
  41. Liferay Portal and Liferay DXP Potentially Reveal LDAP Server Password via Unsafe Connection
    Hoch · 8.3 CVE-2020-15841 < 7.3.0 7.3.0
  42. Liferay Portal and Liferay DXP Vulnerable to Arbitrary Code Execution
    Hoch · 8.8 CVE-2020-13445 < 7.3.2 7.3.2
  43. Liferay Portal Allows RCE via Deserialization of a JSON Payload
    Kritisch · 9.8 CVE-2019-16891 < 7.1.1 7.1.1
  44. Open Redirect in Liferay Portal
    Hoch · 7.5 CVE-2020-24554 < 7.3.3 7.3.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.