CVSS: 6.1EPSS: 0%CPEs: 95EXPL: 0CVE-2021-33326
https://notcve.org/view.php?id=CVE-2021-33326
Cross-site scripting (XSS) vulnerability in the Frontend JS module in Liferay Portal 7.3.4 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 20 and 7.2 before fix pack 9, allows remote attackers to inject arbitrary web script or HTML via the title of a modal window. Una vulnerabilidad de tipo Cross-site scripting (XSS) en el módulo Frontend JS de Liferay Portal versiones 7.3.4 y anteriores, y Liferay DXP versiones 7.0 anterior a fix pack 96, versiones 7.1 anterior a fix pack 20 y versiones 7.2 anterior a fix pack 9, permite a atacantes remotos inyectar script web o HTML arbitrario por medio del título de una ventana modal • https://issues.liferay.com/browse/LPE-17093 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747869 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.9EPSS: 0%CPEs: 89EXPL: 0CVE-2021-33325
https://notcve.org/view.php?id=CVE-2021-33325
The Portal Workflow module in Liferay Portal 7.3.2 and earlier, and Liferay DXP 7.0 before fix pack 93, 7.1 before fix pack 19, and 7.2 before fix pack 7, user's clear text passwords are stored in the database if workflow is enabled for user creation, which allows attackers with access to the database to obtain a user's password. El módulo Portal Workflow en Liferay Portal versiones 7.3.2 y anteriores, y Liferay DXP versiones 7.0 anterior a fix pack 93, versiones 7.1 anterior a fix pack 19 y versiones 7.2 anterior a fix pack 7, unas contraseñas de texto sin cifrar de usuarios son almacenadas en la base de datos si el flujo de trabajo está habilitado para la creación de usuarios, que permite a atacantes con acceso a la base de datos obtener la contraseña de un usuario • https://issues.liferay.com/browse/LPE-17042 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748389 • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 7.5EPSS: 0%CPEs: 90EXPL: 0CVE-2021-33322
https://notcve.org/view.php?id=CVE-2021-33322
In Liferay Portal 7.3.0 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 18, and 7.2 before fix pack 5, password reset tokens are not invalidated after a user changes their password, which allows remote attackers to change the user’s password via the old password reset token. En Liferay Portal versiones 7.3.0 y anteriores, y Liferay DXP versiones 7.0 anteriores a fix pack 96, versiones 7.1 anteriores a fix pack 18, y versiones 7.2 anteriores a fix pack 5, los tokens de restablecimiento de contraseña no son invalidados después de que un usuario cambie su contraseña, lo que permite a atacantes remotos cambiar la contraseña del usuario por medio del antiguo token de restablecimiento de contraseña • https://issues.liferay.com/browse/LPE-16981 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748020 • CWE-613: Insufficient Session Expiration •
CVSS: 4.3EPSS: 0%CPEs: 26EXPL: 0CVE-2021-33324
https://notcve.org/view.php?id=CVE-2021-33324
The Layout module in Liferay Portal 7.1.0 through 7.3.1, and Liferay DXP 7.1 before fix pack 20, and 7.2 before fix pack 5, does not properly check permission of pages, which allows remote authenticated users without view permission of a page to view the page via a site's page administration. El módulo Layout en Liferay Portal versiones 7.1.0 hasta 7.3.1, y Liferay DXP versiones 7.1 anterior a fix pack 20, y versiones 7.2 anterior a fix pack 5, no comprueba apropiadamente los permisos de las páginas, que permite a usuarios autenticados remotos sin permiso de visualización de una página visualizar la página por medio de la administración de páginas de un sitio • https://issues.liferay.com/browse/LPE-17001 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747063 • CWE-276: Incorrect Default Permissions •
CVSS: 7.5EPSS: 0%CPEs: 27EXPL: 0CVE-2021-33323
https://notcve.org/view.php?id=CVE-2021-33323
The Dynamic Data Mapping module in Liferay Portal 7.1.0 through 7.3.2, and Liferay DXP 7.1 before fix pack 19, and 7.2 before fix pack 7, autosaves form values for unauthenticated users, which allows remote attackers to view the autosaved values by viewing the form as an unauthenticated user. El módulo Dynamic Data Mapping en Liferay Portal versiones 7.1.0 hasta 7.3.2, y Liferay DXP versiones 7.1 anterior a fix pack 19, y versiones 7.2 anterior a fix pack 7, guarda automáticamente los valores de los formularios para usuarios no autenticados, que permite a atacantes remotos visualizar los valores guardados automáticamente al visualizar el formulario como un usuario no autenticado • https://issues.liferay.com/browse/LPE-17049 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747107 • CWE-312: Cleartext Storage of Sensitive Information •