Liferay Portal 7.x 〜 7.2.1および 7.3.6より前の7.3.x は、以下のように複数の脆弱性の影響を受けます。

  - Liferay Portal 7.0.0～7.3.5および修正パック97前の7.0、修正パック21前の7.1、修正パック10前の 7.2、修正パック1前の7.3のLiferay DXPのPortal Storeのモジュールは、S3ストアのプロキシパスワードを難読化しないため、攻撃者は中間者攻撃やショルダーサーフィンを介してプロキシパスワードを盗むことができます。（CVE-2021-29043）

  - Liferay Portal 7.0.0～7.3.5、修正パック97前の7.0、修正パック21前の7.1、修正パック10前の7.2、修正パック1前の7.3の ,Liferay DXPにおけるサイトのモジュールのメンバーシップ要求管理ページのクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が the _com_liferay_site_my_sites_web_portlet_MySitesPortlet_commentsパラメータを介して、任意のウェブスクリプトやHTMLを注入することが可能です。（CVE-2021-29044）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Liferay Portal 7.x <= 7.2.1 / 7.3 < 7.3.6 複数の脆弱性

medium Nessus プラグイン ID 151292

バージョン 1.6

バージョン 1.5

バージョン 1.4

バージョン 1.6 May 15, 2025, 5:17 AM Detection (remove script_exclude_keys for CGI scanning) Plugin Feed: 202505150517
バージョン 1.5 Jun 5, 2024, 10:55 AM Required Scan configuration ("Enable cgi scanning" set to "True") Plugin Feed: 202406051055
バージョン 1.4 May 26, 2023, 9:59 AM IAVM reference Plugin Feed: 202305260959