CVSS: 4.3EPSS: 0%CPEs: 89EXPL: 0CVE-2021-33334
https://notcve.org/view.php?id=CVE-2021-33334
The Dynamic Data Mapping module in Liferay Portal 7.0.0 through 7.3.2, and Liferay DXP 7.0 before fix pack 94, 7.1 before fix pack 19, and 7.2 before fix pack 6, does not properly check user permissions, which allows remote attackers with the forms "Access in Site Administration" permission to view all forms and form entries in a site via the forms section in site administration. El módulo Dynamic Data Mapping en Liferay Portal versiones 7.0.0 hasta 7.3.2, y Liferay DXP versiones 7.0 anteriores a fix pack 94, versiones 7.1 anteriores a fix pack 19, y versiones 7.2 anteriores a fix pack 6, no comprueba apropiadamente los permisos de usuario, que permite a atacantes remotos con permiso de formularios "Access in Site Administration" visualizar todos los formularios y entradas de formularios en un sitio por medio de la sección de formularios en la administración del sitio • https://issues.liferay.com/browse/LPE-17039 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748332 • CWE-276: Incorrect Default Permissions •
CVSS: 6.5EPSS: 0%CPEs: 88EXPL: 0CVE-2021-33333
https://notcve.org/view.php?id=CVE-2021-33333
The Portal Workflow module in Liferay Portal 7.3.2 and earlier, and Liferay DXP 7.0 before fix pack 93, 7.1 before fix pack 19 and 7.2 before fix pack 6, does not properly check user permission, which allows remote authenticated users to view and delete workflow submissions via crafted URLs. El módulo Portal Workflow en Liferay Portal versiones 7.3.2 y anteriores, y Liferay DXP versiones 7.0 anteriores a fix pack 93, versiones 7.1 anteriores a fix pack 19 y versiones 7.2 anteriores a fix pack 6, no comprueba apropiadamente los permisos de usuario, que permite a usuarios autenticados remotos visualizar y eliminar envíos de flujos de trabajo por medio de URLs diseñadas • https://issues.liferay.com/browse/LPE-17032 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747742 • CWE-276: Incorrect Default Permissions •
CVSS: 6.1EPSS: 0%CPEs: 91EXPL: 0CVE-2021-33331
https://notcve.org/view.php?id=CVE-2021-33331
Open redirect vulnerability in the Notifications module in Liferay Portal 7.0.0 through 7.3.1, and Liferay DXP 7.0 before fix pack 94, 7.1 before fix pack 19 and 7.2 before fix pack 8, allows remote attackers to redirect users to arbitrary external URLs via the 'redirect' parameter. Una vulnerabilidad de redireccionamiento abierto en el módulo Notifications de Liferay Portal versiones 7.0.0 hasta 7.3.1, y Liferay DXP versiones 7.0 anteriores a fix pack 94, versiones 7.1 anteriores a fix pack 19 y versiones 7.2 anteriores a fix pack 8, permite a atacantes remotos redirigir a usuarios a URLs externas arbitrario por medio del parámetro "redirect" • https://issues.liferay.com/browse/LPE-17022 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747627 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 4.3EPSS: 0%CPEs: 10EXPL: 0CVE-2021-33330
https://notcve.org/view.php?id=CVE-2021-33330
Liferay Portal 7.2.0 through 7.3.2, and Liferay DXP 7.2 before fix pack 9, allows access to Cross-origin resource sharing (CORS) protected resources if the user is only authenticated using the portal session authentication, which allows remote attackers to obtain sensitive information including the targeted user’s email address and current CSRF token. Liferay Portal versiones 7.2.0 hasta 7.3.2, y Liferay DXP versiones 7.2 anteriores a fix pack 9, permite el acceso a recursos protegidos por Cross-origin resource sharing (CORS) si el usuario sólo es autenticado usando la autenticación de sesión del portal, lo que permite a atacantes remotos obtener información confidencial, incluyendo la dirección de correo electrónico del usuario objetivo y el token de tipo CSRF actual • https://issues.liferay.com/browse/LPE-17127 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747720 •
CVSS: 4.3EPSS: 0%CPEs: 12EXPL: 0CVE-2021-33327
https://notcve.org/view.php?id=CVE-2021-33327
The Portlet Configuration module in Liferay Portal 7.2.0 through 7.3.3, and Liferay DXP 7.0 fix pack pack 93 and 94, 7.1 fix pack 18, and 7.2 before fix pack 8, does not properly check user permission, which allows remote authenticated users to view the Guest and User role even if "Role Visibility" is enabled. El módulo Portlet Configuration de Liferay Portal versiones 7.2.0 hasta 7.3.3, y Liferay DXP versiones 7.0 fix pack 93 y 94, versiones 7.1 fix pack 18, y versiones 7.2 anteriores a fix pack 8, no comprueba apropiadamente los permisos de usuarios, que permite a usuarios autenticado remoto visualizar el rol de invitado y de usuario incluso si la "Role Visibility" está habilitada • https://issues.liferay.com/browse/LPE-17075 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747840 • CWE-276: Incorrect Default Permissions •