CVSS: 7.5EPSS: 0%CPEs: 90EXPL: 0CVE-2021-33322
https://notcve.org/view.php?id=CVE-2021-33322
In Liferay Portal 7.3.0 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 18, and 7.2 before fix pack 5, password reset tokens are not invalidated after a user changes their password, which allows remote attackers to change the user’s password via the old password reset token. En Liferay Portal versiones 7.3.0 y anteriores, y Liferay DXP versiones 7.0 anteriores a fix pack 96, versiones 7.1 anteriores a fix pack 18, y versiones 7.2 anteriores a fix pack 5, los tokens de restablecimiento de contraseña no son invalidados después de que un usuario cambie su contraseña, lo que permite a atacantes remotos cambiar la contraseña del usuario por medio del antiguo token de restablecimiento de contraseña • https://issues.liferay.com/browse/LPE-16981 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748020 • CWE-613: Insufficient Session Expiration •
CVSS: 4.3EPSS: 0%CPEs: 26EXPL: 0CVE-2021-33324
https://notcve.org/view.php?id=CVE-2021-33324
The Layout module in Liferay Portal 7.1.0 through 7.3.1, and Liferay DXP 7.1 before fix pack 20, and 7.2 before fix pack 5, does not properly check permission of pages, which allows remote authenticated users without view permission of a page to view the page via a site's page administration. El módulo Layout en Liferay Portal versiones 7.1.0 hasta 7.3.1, y Liferay DXP versiones 7.1 anterior a fix pack 20, y versiones 7.2 anterior a fix pack 5, no comprueba apropiadamente los permisos de las páginas, que permite a usuarios autenticados remotos sin permiso de visualización de una página visualizar la página por medio de la administración de páginas de un sitio • https://issues.liferay.com/browse/LPE-17001 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747063 • CWE-276: Incorrect Default Permissions •
CVSS: 7.5EPSS: 0%CPEs: 27EXPL: 0CVE-2021-33323
https://notcve.org/view.php?id=CVE-2021-33323
The Dynamic Data Mapping module in Liferay Portal 7.1.0 through 7.3.2, and Liferay DXP 7.1 before fix pack 19, and 7.2 before fix pack 7, autosaves form values for unauthenticated users, which allows remote attackers to view the autosaved values by viewing the form as an unauthenticated user. El módulo Dynamic Data Mapping en Liferay Portal versiones 7.1.0 hasta 7.3.2, y Liferay DXP versiones 7.1 anterior a fix pack 19, y versiones 7.2 anterior a fix pack 7, guarda automáticamente los valores de los formularios para usuarios no autenticados, que permite a atacantes remotos visualizar los valores guardados automáticamente al visualizar el formulario como un usuario no autenticado • https://issues.liferay.com/browse/LPE-17049 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747107 • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2021-33321
https://notcve.org/view.php?id=CVE-2021-33321
Insecure default configuration in Liferay Portal 6.2.3 through 7.3.2, and Liferay DXP before 7.3, allows remote attackers to enumerate user email address via the forgot password functionality. The portal.property login.secure.forgot.password should be defaulted to true. Una configuración no segura predeterminada en Liferay Portal versiones 6.2.3 hasta 7.3.2, y Liferay DXP versiones anteriores a 7.3, permite a atacantes remotos enumerar la dirección de correo electrónico del usuario por medio de la funcionalidad forgot password. La función portal.property login.secure.forgot.password debería estar por defecto en true • https://help.liferay.com/hc/en-us/articles/360050785632 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748055 • CWE-640: Weak Password Recovery Mechanism for Forgotten Password •
CVSS: 4.3EPSS: 0%CPEs: 91EXPL: 0CVE-2021-33320
https://notcve.org/view.php?id=CVE-2021-33320
The Flags module in Liferay Portal 7.3.1 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 20, and 7.2 before fix pack 5, does not limit the rate at which content can be flagged as inappropriate, which allows remote authenticated users to spam the site administrator with emails El módulo Flags en Liferay Portal versiones 7.3.1 y anteriores, y Liferay DXP versiones 7.0 anteriores a fix pack 96, versiones 7.1 anteriores a fix pack 20, y versiones 7.2 anteriores a fix pack 5, no limita la velocidad a la que el contenido puede ser marcado como inapropiado, que permite a usuarios autenticado remoto hacer spam al administrador del sitio con correos electrónicos • https://issues.liferay.com/browse/LPE-17007 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747590 • CWE-770: Allocation of Resources Without Limits or Throttling •