Zaloguj się
Deutsch English Español Polski
Średnia

Privilege escalation in Liferay Portal

  • Ujawniono: 20.02.2024
  • Aktualizacja: 11.10.2026 12:21

Liferay Portal before 7.4.3.16 and Liferay DXP before 7.2 fix pack 19, 7.3 before update 6, and 7.4 before update 16 allow remote authenticated users to become the owner of a wiki page by editing the wiki page.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) com.liferay.portal:release.portal.bom < 7.4.3.16 7.4.3.16

Odnośniki

Ocena CVSS 6.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Słabość (CWE)
CWE-284
Platforma
Java / Kotlin (Maven)
Paczka
com.liferay.portal:release.portal.bom
Ujawniono
20.02.2024
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-mc8m-4r3w-q2hw - CC BY 4.0

Historia podatności: com.liferay.portal:release.portal.bom

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (159) w archiwum
Wszystkich wpisów
159
Pierwsza → ostatnia
05.2021 10.2025
Bez poprawki
33
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 18
  • Wysoka 25
  • Średnia 115
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Liferay Portal Vulnerable to DoS via Crafted Headless API Request
    Wysoka CVE-2025-62260 >= 7.4.0-ga1, < 7.4.3.100 7.4.3.100
  2. Liferay Portal Vulnerable to CSRF in Headless APIs
    Wysoka CVE-2025-62258 >= 7.4.0-ga1, < 7.4.3.108 7.4.3.108
  3. Liferay Portal Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2025-43748 >= 7.0.0-a1, < 7.4.3.120-ga120 7.4.3.120-ga120
  4. Liferay Portal and Liferay DXP Workflow Component Does Not Check User Permissions
    Krytyczna · 9.0 CVE-2024-38002 >= 7.3.2-ga3, < 7.4.3.112-ga112 7.4.3.112-ga112
  5. Liferay Portal and Liferay DXP Vulnerable to CSRF in the Script Console
    Krytyczna · 9.6 CVE-2024-8980 >= 7.0.0-a1, < 7.4.3.102-GA102 7.4.3.102-GA102
  6. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the My Account Widget
    Wysoka · 8.8 CVE-2024-26271 >= 7.4.3.75, < 7.4.3.112 7.4.3.112
  7. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Wysoka · 8.8 CVE-2024-26273 >= 7.4.0, < 7.4.3.104 7.4.3.104
  8. Liferay Portal and Liferay DXP Vulnerable to Cross-Site Request Forgery (CSRF) via the Content Page Editor
    Wysoka · 8.8 CVE-2024-26272 >= 7.3.2, < 7.4.3.108 7.4.3.108
  9. Liferay Portal Document and Media widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2023-47795 >= 7.4.3.18, < 7.4.3.102 7.4.3.102
  10. Liferay Portal's Dynamic Data Mapping module's DDMForm and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25603 < 7.4.3.5 7.4.3.5
  11. Liferay Portal Frontend JS module's portlet.js and Liferay DXP vulnerable to Cross-site Scripting
    Krytyczna · 9.6 CVE-2024-26269 >= 7.2.0, < 7.4.3.38 7.4.3.38
  12. Liferay Portal and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-26266 < 7.4.3.14 7.4.3.14
  13. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.0 CVE-2023-40191 >= 7.4.3.44, < 7.4.3.98 7.4.3.98
  14. Liferay Portal Language Override edit screen and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.6 CVE-2023-42498 >= 7.4.3.8, < 7.4.3.98 7.4.3.98
  15. Liferay Portal and Liferay DXP vulnerable to reflected Cross-site Scripting
    Krytyczna · 9.6 CVE-2023-42496 >= 7.3.3, < 7.4.3.98 7.4.3.98
  16. Liferay Portal Expando module and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25601 <= 7.4.2 brak poprawki
  17. Liferay Portal and Liferay DXP's Users Admin module vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25602 <= 7.4.2 brak poprawki
  18. Liferay Portal Message Board widget and Liferay DXP vulnerable to stored Cross-site Scripting
    Krytyczna · 9.0 CVE-2024-25152 <= 7.4.2 brak poprawki
  19. Liferay Portal and Liferay DXP vulnerable to Cross-site Scripting
    Krytyczna · 9.6 CVE-2024-25147 <= 7.4.1 brak poprawki
  20. Liferay Portal has a Stored XSS with Blog entries (Insecure defaults)
    Krytyczna · 9.0 CVE-2024-25610 < 7.4.3.13 7.4.3.13
  21. Liferay Portal defaults to a low work factor for the default password hashing algorithm
    Wysoka · 8.1 CVE-2024-25607 < 7.4.3.14 7.4.3.14
  22. Liferay Portal has an XXE vulnerability in Java2WsddTask._format
    Wysoka · 8.0 CVE-2024-25606 < 7.4.3.8 7.4.3.8
  23. Privilege escalation in Liferay Portal ten wpis
    Średnia · 6.3 CVE-2022-45320 < 7.4.3.16 7.4.3.16
  24. Liferay Portal vulnerable to user impersonation
    Wysoka · 8.1 CVE-2024-25148 >= 7.2.0, < 7.4.2 7.4.2
  25. Liferay Portal denial of service (memory consumption)
    Wysoka · 6.5 CVE-2024-25143 >= 7.2.0, < 7.3.7 7.3.7
  26. Liferay Portal stored cross-site scripting (XSS) vulnerability
    Krytyczna · 9.6 CVE-2024-25145 < 7.4.3.12 7.4.3.12
  27. Liferay Portal XSS with `p_l_back_url_title` on edit content page
    Krytyczna · 9.6 CVE-2023-47797 >= 7.4.3.94, < 7.4.3.96 7.4.3.96
  28. Liferay Portal and Liferay DXP Vulnerable to CSRF via the Layout Module
    Wysoka · 8.8 CVE-2023-35030 >= 7.4.3.70-ga70, < 7.4.3.77-ga77 7.4.3.77-ga77
  29. SQL injection in Liferay Portal
    Wysoka · 8.1 CVE-2023-33945 >= 7.3.1, < 7.4.3.18 7.4.3.18
  30. Missing authorization in Liferay portal
    Wysoka · 7.5 CVE-2023-33948 >= 7.4.3.67, < 7.4.3.68 7.4.3.68
  31. Inefficient Regular Expression Complexity in Liferay Portal
    Wysoka · 7.5 CVE-2022-42124 >= 7.3.2, < 7.4.3.5 7.4.3.5
  32. Liferay Portal and Liferay DXP Vulnerable to SQL Injection via Friendly URL Module
    Krytyczna · 9.8 CVE-2022-42122 >= 7.3.7, < 7.4.0-ga1 7.4.0-ga1
  33. Path Traversal in Liferay Portal
    Wysoka · 7.5 CVE-2022-42123 >= 7.3.3, < 7.4.3.19 7.4.3.19
  34. Path Traversal in Liferay Portal
    Wysoka · 7.5 CVE-2022-42125 >= 7.4.3.5, < 7.4.3.48 7.4.3.48
  35. Liferay Portal and Liferay DXP Has Company Administrator Accounts Vulnerable to Takeovers
    Wysoka · 7.2 CVE-2021-33335 >= 7.0.3, < 7.3.5 7.3.5
  36. Liferay Portal Layout Module and Liferay DXP Exposes the Cross-Site Request Forgery (CSRF) Token in URLs
    Wysoka · 7.5 CVE-2021-33338 >= 7.1.0, < 7.3.3 7.3.3
  37. Liferay Portal and Liferay DXP insecure default configuration
    Wysoka · 7.5 CVE-2021-33321 < 7.3.3 7.3.3
  38. Liferay Portal and Liferay DXP Vulnerable to Multiple SQL Injections
    Wysoka · 8.8 CVE-2021-29053 >= 7.3.5, < 7.3.6 7.3.6
  39. Liferay Portal and Liferay DXP Fails to Invalidate CAPTCHA Answers After Use
    Wysoka · 7.5 CVE-2021-29047 >= 7.3.4, < 7.3.6 7.3.6
  40. Liferay Portal and Liferay DXP have Insecure Deserialization Vulnerability
    Wysoka · 8.1 CVE-2020-15842 < 7.3.0 7.3.0
  41. Liferay Portal and Liferay DXP Potentially Reveal LDAP Server Password via Unsafe Connection
    Wysoka · 8.3 CVE-2020-15841 < 7.3.0 7.3.0
  42. Liferay Portal and Liferay DXP Vulnerable to Arbitrary Code Execution
    Wysoka · 8.8 CVE-2020-13445 < 7.3.2 7.3.2
  43. Liferay Portal Allows RCE via Deserialization of a JSON Payload
    Krytyczna · 9.8 CVE-2019-16891 < 7.1.1 7.1.1
  44. Open Redirect in Liferay Portal
    Wysoka · 7.5 CVE-2020-24554 < 7.3.3 7.3.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.