CVSS: 4.3EPSS: 0%CPEs: 10EXPL: 0CVE-2021-33330
https://notcve.org/view.php?id=CVE-2021-33330
Liferay Portal 7.2.0 through 7.3.2, and Liferay DXP 7.2 before fix pack 9, allows access to Cross-origin resource sharing (CORS) protected resources if the user is only authenticated using the portal session authentication, which allows remote attackers to obtain sensitive information including the targeted user’s email address and current CSRF token. Liferay Portal versiones 7.2.0 hasta 7.3.2, y Liferay DXP versiones 7.2 anteriores a fix pack 9, permite el acceso a recursos protegidos por Cross-origin resource sharing (CORS) si el usuario sólo es autenticado usando la autenticación de sesión del portal, lo que permite a atacantes remotos obtener información confidencial, incluyendo la dirección de correo electrónico del usuario objetivo y el token de tipo CSRF actual • https://issues.liferay.com/browse/LPE-17127 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747720 •
CVSS: 4.3EPSS: 0%CPEs: 12EXPL: 0CVE-2021-33327
https://notcve.org/view.php?id=CVE-2021-33327
The Portlet Configuration module in Liferay Portal 7.2.0 through 7.3.3, and Liferay DXP 7.0 fix pack pack 93 and 94, 7.1 fix pack 18, and 7.2 before fix pack 8, does not properly check user permission, which allows remote authenticated users to view the Guest and User role even if "Role Visibility" is enabled. El módulo Portlet Configuration de Liferay Portal versiones 7.2.0 hasta 7.3.3, y Liferay DXP versiones 7.0 fix pack 93 y 94, versiones 7.1 fix pack 18, y versiones 7.2 anteriores a fix pack 8, no comprueba apropiadamente los permisos de usuarios, que permite a usuarios autenticado remoto visualizar el rol de invitado y de usuario incluso si la "Role Visibility" está habilitada • https://issues.liferay.com/browse/LPE-17075 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747840 • CWE-276: Incorrect Default Permissions •
CVSS: 5.4EPSS: 0%CPEs: 95EXPL: 0CVE-2021-33328
https://notcve.org/view.php?id=CVE-2021-33328
Cross-site scripting (XSS) vulnerability in the Asset module's edit vocabulary page in Liferay Portal 7.0.0 through 7.3.4, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 20, and 7.2 before fix pack 9, allows remote attackers to inject arbitrary web script or HTML via the (1) _com_liferay_journal_web_portlet_JournalPortlet_name or (2) _com_liferay_document_library_web_portlet_DLAdminPortlet_name parameter. Una vulnerabilidad de tipo Cross-site scripting (XSS) en la página de edición de vocabulario del módulo Asset en Liferay Portal versiones 7.0.0 hasta 7.3.4, y Liferay DXP versiones 7.0 anteriores a fix pack 96, versiones 7.1 anteriores a fix pack 20, y versiones 7. 2 anteriores a fix pack 9, permite a atacantes remotos inyectar script web o HTML arbitrario por medio de los parámetros (1) _com_liferay_journal_web_portlet_JournalPortlet_name o (2) _com_liferay_document_library_web_portlet_DLAdminPortlet_name • https://issues.liferay.com/browse/LPE-17100 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747972 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 95EXPL: 0CVE-2021-33326
https://notcve.org/view.php?id=CVE-2021-33326
Cross-site scripting (XSS) vulnerability in the Frontend JS module in Liferay Portal 7.3.4 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 20 and 7.2 before fix pack 9, allows remote attackers to inject arbitrary web script or HTML via the title of a modal window. Una vulnerabilidad de tipo Cross-site scripting (XSS) en el módulo Frontend JS de Liferay Portal versiones 7.3.4 y anteriores, y Liferay DXP versiones 7.0 anterior a fix pack 96, versiones 7.1 anterior a fix pack 20 y versiones 7.2 anterior a fix pack 9, permite a atacantes remotos inyectar script web o HTML arbitrario por medio del título de una ventana modal • https://issues.liferay.com/browse/LPE-17093 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747869 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.9EPSS: 0%CPEs: 89EXPL: 0CVE-2021-33325
https://notcve.org/view.php?id=CVE-2021-33325
The Portal Workflow module in Liferay Portal 7.3.2 and earlier, and Liferay DXP 7.0 before fix pack 93, 7.1 before fix pack 19, and 7.2 before fix pack 7, user's clear text passwords are stored in the database if workflow is enabled for user creation, which allows attackers with access to the database to obtain a user's password. El módulo Portal Workflow en Liferay Portal versiones 7.3.2 y anteriores, y Liferay DXP versiones 7.0 anterior a fix pack 93, versiones 7.1 anterior a fix pack 19 y versiones 7.2 anterior a fix pack 7, unas contraseñas de texto sin cifrar de usuarios son almacenadas en la base de datos si el flujo de trabajo está habilitado para la creación de usuarios, que permite a atacantes con acceso a la base de datos obtener la contraseña de un usuario • https://issues.liferay.com/browse/LPE-17042 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748389 • CWE-312: Cleartext Storage of Sensitive Information •