Liferay Portal and Liferay DXP Vulnerable to Cross-Site Scripting (XSS) via Asset Module Parameter

中 6.1CVE-2021-29046 · GHSA-9g57-m5vf-qp73 · 17/05/2021 公開 · 09/07/2026 更新

要点

CVE-2021-29046 は com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom, dxp (liferay) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.88%（全脆弱性の 59.1% より高い）。
対処：7.3.10.fp1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.liferay.portal:release.dxp.bom Maven	`≥ 7.3.10.fp0, < 7.3.10.fp1`	`7.3.10.fp1`
com.liferay.portal:release.portal.bom Maven	`= 7.3.5`	修正版なし
dxp liferay	`= 7.3`	修正版なし
liferay portal liferay	`= 7.3.5`	修正版なし

概要

Cross-site scripting (XSS) vulnerability in the Asset module's category selector input field in Liferay Portal 7.3.5 and Liferay DXP 7.3 before fix pack 1, allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title parameter.

NVD の説明