Zaloguj się
Deutsch English Español Polski
Średnia

Liferay Portal and Liferay DXP fails to check origin of event messages

  • Ujawniono: 04.03.2022
  • Aktualizacja: 11.10.2026 12:21

The Remote App module before 2.0.21 from Liferay Portal v7.4.3.4 through v7.4.3.8 and Liferay DXP 7.4 before update 5 does not check if the origin of event messages it receives matches the origin of the Remote App, allowing attackers to exfiltrate the CSRF token via a crafted event message.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) com.liferay:com.liferay.remote.app.web < 2.0.21 2.0.21
Java / Kotlin (Maven) com.liferay.portal:release.dxp.bom < 7.4.13.u5 7.4.13.u5

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-346
Platforma
Java / Kotlin (Maven)
Paczka
com.liferay:com.liferay.remote.app.web, com.liferay.portal:release.dxp.bom
Ujawniono
04.03.2022
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-ghw5-998m-vw4w - CC BY 4.0

Historia podatności: com.liferay.portal:release.dxp.bom

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (125) w archiwum
Wszystkich wpisów
125
Pierwsza → ostatnia
02.2022 09.2025
Bez poprawki
8
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 24
  • Wysoka 19
  • Średnia 82

Ujawnienia w latach

Istotność:
  1. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Krytyczna · 9.0 CVE-2024-38002 >= 2023.Q4.0, < 2023.Q4.6, >= 2023.Q3.1, < 2023.Q3.9, >= 7.3-ga, < 7.3.10.u36, >= 7.4-ga, < 7.4.13.u92 2023.Q4.6, 2023.Q3.9, 7.3.10.u36, 7.4.13.u92
  2. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Krytyczna · 9.6 CVE-2024-8980 >= 2023.Q3.1, < 2023.Q3.5, >= 7.0.0-GA, <= 7.0.10.fp102, >= 7.1.0-GA, <= 7.1.10.fp28, >= 7.2.0.GA, <= 7.2.10.fp20, >= 7.3.0-GA, < 7.3.10.u36, >= 7.4.0-GA, <= 7.4.13.u92 2023.Q3.5, 7.3.10.u36
  3. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Wysoka · 8.8 CVE-2024-26271 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.3u32, < 7.3u37, >= 7.4u75, < 7.4u93 2023.Q4.3, 2023.Q3.6, 7.3u37, 7.4u93
  4. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Wysoka · 8.8 CVE-2024-26273 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.4.GA, < 7.4u93, >= 7.3u29, < 7.3u36 2023.Q4.3, 2023.Q3.6, 7.4u93, 7.3u36
  5. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Wysoka · 8.8 CVE-2024-26272 >= 2023.Q4.0, < 2023.Q4.3, >= 2023.Q3.1, < 2023.Q3.6, >= 7.3.GA, < 7.3u36, >= 7.4.GA, < 7.4u93 2023.Q4.3, 2023.Q3.6, 7.3u36, 7.4u93
  6. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2023-47795 >= 2023.Q3, < 2023.Q3.6, >= 7.4.13.u18, <= 7.4.13.u92 2023.Q3.6
  7. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25603 >= 7.4.13.u1, <= 7.4.13.u102, >= 7.3.10.ep3, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  8. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Krytyczna · 9.6 CVE-2024-26269 >= 7.4.13.u1, < 7.4.13.u38, >= 7.3.10.ep3, < 7.3.10.u11, >= 7.2.0, < 7.2.10.fp20 7.4.13.u38, 7.3.10.u11, 7.2.10.fp20
  9. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-26266 >= 7.4.13.u1, < 7.4.13.u10, >= 7.3.10.ep3, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.4.13.u10, 7.3.10.u4, 7.2.10.fp17
  10. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.0 CVE-2023-40191 >= 2023.Q3, < 2023.Q3.6, >= 7.4.13.u44, <= 7.4.13.u92 2023.Q3.6
  11. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.6 CVE-2023-42498 >= 2023.Q3, < 2023.Q3.5, >= 7.4.13.u4, <= 7.4.13.u92 2023.Q3.5
  12. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.6 CVE-2023-42496 >= 7.4.10.ep1, <= 7.4.13.u92, >= 7.3.10.ep3, < 7.3.10.u34, >= 2023.Q3, < 2023.Q3.6 7.3.10.u34, 2023.Q3.6
  13. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25601 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  14. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25602 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  15. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25152 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp17 7.3.10.u4, 7.2.10.fp17
  16. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Krytyczna · 9.6 CVE-2024-25147 >= 7.3.0, < 7.3.10.u4, >= 7.2.0, < 7.2.10.fp15 7.3.10.u4, 7.2.10.fp15
  17. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery in Terms of Use Page
    Wysoka · 8.8 CVE-2021-29050 >= 7.2.0, < 7.2.10.fp11 7.2.10.fp11
  18. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Krytyczna · 9.0 CVE-2024-25610 >= 7.4.0, < 7.4.13.u9, >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp19 7.4.13.u9, 7.3.10.u4, 7.2.10.fp19
  19. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Wysoka · 8.1 CVE-2024-25607 >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp17, >= 7.4.0, < 7.4.13.u16 7.3.10.u4, 7.2.10.fp17, 7.4.13.u16
  20. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Wysoka · 8.0 CVE-2024-25606 >= 7.3.0, < 7.3.10.u12, >= 7.4.0, < 7.4.13.u4, < 7.2.10.fp20 7.3.10.u12, 7.4.13.u4, 7.2.10.fp20
  21. Liferay Portal vulnerable to user impersonation
    Wysoka · 8.1 CVE-2024-25148 >= 7.2.0, < 7.2.10.fp15, >= 7.3.0, < 7.3.10.u4 7.2.10.fp15, 7.3.10.u4
  22. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Krytyczna · 9.6 CVE-2024-25145 >= 7.4.0, < 7.4.3.13u8, >= 7.3.0, < 7.3.10.u4, < 7.2.10.fp17 7.4.3.13u8, 7.3.10.u4, 7.2.10.fp17
  23. Liferay Portal and Liferay DXP Vulnerable to XSS in the Commerce Module
    Krytyczna · 9.6 CVE-2023-42627 >= 7.3.0, <= 7.3.10.u33, >= 7.4.0, <= 7.4.13.u92 brak poprawki
  24. Liferay Portal and Liferay DXP Vulnerable to XSS in the Wiki Widget
    Krytyczna · 9.0 CVE-2023-42628 >= 7.0.10.fp83, <= 7.0.10.fp102, >= 7.1.0, <= 7.1.10.fp28, >= 7.2.0, <= 7.2.10.fp20, >= 7.3.0, < 7.3.10.u34, >= 7.4.0, < 7.4.13.u88 7.3.10.u34, 7.4.13.u88
  25. Liferay Portal and Liferay DXP Vulnerable to XSS via the OAuth2ProviderApplicationRedirect Class
    Krytyczna · 9.6 CVE-2023-44311 >= 7.4.13.u41, < 7.4.13.u90 7.4.13.u90
  26. Liferay Portal and Liferay DXP Vulnerable to XSS via the Page Tree Menu
    Krytyczna · 9.0 CVE-2023-44310 >= 7.3.10.fp1, <= 7.3.10.fp23, >= 7.4.0, < 7.4.13.u79 7.4.13.u79
  27. Liferay Portal and Liferay DXP Vulnerable to XSS in the Fragment Components
    Krytyczna · 9.0 CVE-2023-44309 >= 7.4.0, < 7.4.13.u54 7.4.13.u54
  28. Liferay Portal and Liferay DXP Vulnerable to Stored XSS in the Manage Vocabulary Page
    Krytyczna · 9.0 CVE-2023-42629 >= 7.4.0, < 7.4.13.u88 7.4.13.u88
  29. Liferay Portal and Liferay DXP Vulnerable to Reflected XSS via the Export for Translation Page
    Krytyczna · 9.6 CVE-2023-42497 >= 7.4.0, < 7.4.13.u86 7.4.13.u86
  30. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Wysoka · 8.8 CVE-2023-35030 >= 7.4.13.u70, <= 7.4.13.u76 brak poprawki
  31. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Krytyczna · 9.8 CVE-2022-42122 >= 7.3.10.fp2, < 7.3.10.u4 7.3.10.u4
  32. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via the Fragment Module
    Krytyczna · 9.8 CVE-2022-42120 >= 7.3.0, < 7.3.10.u4, >= 7.4.0, < 7.4.13.u17 7.3.10.u4, 7.4.13.u17
  33. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via the Layout Module
    Wysoka · 8.8 CVE-2022-42121 >= 7.1.0, < 7.1.10.fp27, >= 7.2.0, < 7.2.10.fp17 7.1.10.fp27, 7.2.10.fp17
  34. Liferay Portal and Liferay DXP fails to invalidate password reset tokens after use
    Wysoka · 7.5 CVE-2021-33322 >= 7.0.0, < 7.0.10.fp96, >= 7.1.0, < 7.1.10.fp18, >= 7.2.0, < 7.2.10.fp5 7.0.10.fp96, 7.1.10.fp18, 7.2.10.fp5
  35. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Wysoka · 7.2 CVE-2021-33335 >= 7.1.0, < 7.1.10.fp20, >= 7.2.0, < 7.2.10.fp9 7.1.10.fp20, 7.2.10.fp9
  36. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Wysoka · 7.5 CVE-2021-33338 >= 7.1.0, < 7.1.10.fp19, >= 7.2.0, < 7.2.10.fp6 7.1.10.fp19, 7.2.10.fp6
  37. Liferay Portal and Liferay DXP autosaves form data for other users to see
    Wysoka · 7.5 CVE-2021-33323 >= 7.1.0, < 7.1.10.fp19, >= 7.2.0, < 7.2.10.fp7 7.1.10.fp19, 7.2.10.fp7
  38. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Wysoka · 8.8 CVE-2021-29053 < 7.3.10.fp1 7.3.10.fp1
  39. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Wysoka · 7.5 CVE-2021-29047 < 7.3.10.fp1 7.3.10.fp1
  40. Liferay Portal and Liferay DXP have Insecure Deserialization Vulnerability
    Wysoka · 8.1 CVE-2020-15842 >= 7.0.0, < 7.0.10.fp90, >= 7.1.0, < 7.1.10.fp17, >= 7.2.0, < 7.2.10.fp5 7.0.10.fp90, 7.1.10.fp17, 7.2.10.fp5
  41. Liferay Portal and Liferay DXP Potentially Reveal LDAP Server Password via Unsafe Connection
    Wysoka · 8.3 CVE-2020-15841 >= 7.0.0, < 7.0.10.fp89, >= 7.1.0, < 7.1.10.fp17, >= 7.2.0, < 7.2.10.fp4 7.0.10.fp89, 7.1.10.fp17, 7.2.10.fp4
  42. Liferay Portal and Liferay DXP Vulnerable to Arbitrary Code Execution
    Wysoka · 8.8 CVE-2020-13445 >= 7.0.0, < 7.0.10.fp92, >= 7.1.0, < 7.1.10.fp18, >= 7.2.0, < 7.2.10.fp6 7.0.10.fp92, 7.1.10.fp18, 7.2.10.fp6
  43. Liferay Portal and Liferay DXP fails to properly import users from LDAP
    Wysoka · 7.5 CVE-2021-38266 < 7.3.0-ga1 7.3.0-ga1
  44. Liferay Portal and Liferay DXP fails to check origin of event messages ten wpis
    Średnia · 5.3 CVE-2022-25146 < 7.4.13.u5 7.4.13.u5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.