CVSS: 4.3EPSS: 0%CPEs: 26EXPL: 0CVE-2021-33324
https://notcve.org/view.php?id=CVE-2021-33324
The Layout module in Liferay Portal 7.1.0 through 7.3.1, and Liferay DXP 7.1 before fix pack 20, and 7.2 before fix pack 5, does not properly check permission of pages, which allows remote authenticated users without view permission of a page to view the page via a site's page administration. El módulo Layout en Liferay Portal versiones 7.1.0 hasta 7.3.1, y Liferay DXP versiones 7.1 anterior a fix pack 20, y versiones 7.2 anterior a fix pack 5, no comprueba apropiadamente los permisos de las páginas, que permite a usuarios autenticados remotos sin permiso de visualización de una página visualizar la página por medio de la administración de páginas de un sitio • https://issues.liferay.com/browse/LPE-17001 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747063 • CWE-276: Incorrect Default Permissions •
CVSS: 7.5EPSS: 0%CPEs: 27EXPL: 0CVE-2021-33323
https://notcve.org/view.php?id=CVE-2021-33323
The Dynamic Data Mapping module in Liferay Portal 7.1.0 through 7.3.2, and Liferay DXP 7.1 before fix pack 19, and 7.2 before fix pack 7, autosaves form values for unauthenticated users, which allows remote attackers to view the autosaved values by viewing the form as an unauthenticated user. El módulo Dynamic Data Mapping en Liferay Portal versiones 7.1.0 hasta 7.3.2, y Liferay DXP versiones 7.1 anterior a fix pack 19, y versiones 7.2 anterior a fix pack 7, guarda automáticamente los valores de los formularios para usuarios no autenticados, que permite a atacantes remotos visualizar los valores guardados automáticamente al visualizar el formulario como un usuario no autenticado • https://issues.liferay.com/browse/LPE-17049 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747107 • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2021-33321
https://notcve.org/view.php?id=CVE-2021-33321
Insecure default configuration in Liferay Portal 6.2.3 through 7.3.2, and Liferay DXP before 7.3, allows remote attackers to enumerate user email address via the forgot password functionality. The portal.property login.secure.forgot.password should be defaulted to true. Una configuración no segura predeterminada en Liferay Portal versiones 6.2.3 hasta 7.3.2, y Liferay DXP versiones anteriores a 7.3, permite a atacantes remotos enumerar la dirección de correo electrónico del usuario por medio de la funcionalidad forgot password. La función portal.property login.secure.forgot.password debería estar por defecto en true • https://help.liferay.com/hc/en-us/articles/360050785632 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748055 • CWE-640: Weak Password Recovery Mechanism for Forgotten Password •
CVSS: 4.3EPSS: 0%CPEs: 91EXPL: 0CVE-2021-33320
https://notcve.org/view.php?id=CVE-2021-33320
The Flags module in Liferay Portal 7.3.1 and earlier, and Liferay DXP 7.0 before fix pack 96, 7.1 before fix pack 20, and 7.2 before fix pack 5, does not limit the rate at which content can be flagged as inappropriate, which allows remote authenticated users to spam the site administrator with emails El módulo Flags en Liferay Portal versiones 7.3.1 y anteriores, y Liferay DXP versiones 7.0 anteriores a fix pack 96, versiones 7.1 anteriores a fix pack 20, y versiones 7.2 anteriores a fix pack 5, no limita la velocidad a la que el contenido puede ser marcado como inapropiado, que permite a usuarios autenticado remoto hacer spam al administrador del sitio con correos electrónicos • https://issues.liferay.com/browse/LPE-17007 https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120747590 • CWE-770: Allocation of Resources Without Limits or Throttling •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2021-29052
https://notcve.org/view.php?id=CVE-2021-29052
The Data Engine module in Liferay Portal 7.3.0 through 7.3.5, and Liferay DXP 7.3 before fix pack 1 does not check permissions in DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, which allows remote authenticated users to view DDMStructures via GET API calls. El módulo Data Engine en Liferay Portal versiones 7.3.0 hasta 7.3.5 y Liferay DXP versiones 7.3 anteriores a fixpack 1 no comprueba los permisos en DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, que permite a los usuarios autenticados remotos visualizar estructuras DDMS por medio de llamadas a la API GET • http://liferay.com https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120743159 • CWE-276: Incorrect Default Permissions •