Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans Liferay Portal

Gestion du document

Référence	CERTFR-2022-AVI-397
Titre	Multiples vulnérabilités dans Liferay Portal
Date de la première version	28 avril 2022
Date de la dernière version	28 avril 2022
Source(s)	Bulletin de sécurité Liferay du 24 janvier 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Injection de code indirecte à distance (XSS)

Systèmes affectés

Liferay Portal version 7.3.7 GA8 sans le dernier correctif de sécurité
Liferay Portal versions 7.4.x antérieures à 7.4.2 GA3

Résumé

De multiples vulnérabilités ont été découvertes dans Liferay Portal. Elles permettent à un attaquant de provoquer un contournement de la politique de sécurité et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Liferay du 24 janvier 2022
https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/cve-2022-26595-unauthorized-access-to-site-group-list
Référence CVE CVE-2022-26593
https://www.cve.org/CVERecord?id=CVE-2022-26593
Référence CVE CVE-2022-26595
https://www.cve.org/CVERecord?id=CVE-2022-26595

Gestion détaillée du document

Date	Description
28 avril 2022	Version initiale