自己報告されたバージョン番号によると、リモートホストで実行されている Liferay Portal のバージョンは、6.2.0 より前のものです。そのため、以下のクロスサイトスクリプティング脆弱性の影響を受ける可能性があります。

- ごみ箱に表示される前に、ページタイトルから渡された入力がサニタイズされていません。（OSVDB 103269）

- Polls で表示される前に、ユーザープロファイルから渡された入力が検証されていません。（OSVDB 103270）

- [履歴] タブに表示される前に、ユーザープロファイルから渡された入力が検証されていません。（OSVDB 103271）

- 管理者に対して表示される前に、ユーザープロファイルから渡された入力が検証されていません。（OSVDB 103272）

- ブックマークで表示される前に、ユーザープロファイルから渡された入力が検証されていません。（OSVDB 103273）

- ユーザーに返される前に、ルックアンドフィールダイアログから渡される入力が検証されていません。
 （OSVDB 103274）

- 検索結果を表示する際の入力が、さまざまなポートレットに対して検証されていません。（OSVDB 103275）

- ユーザーに返される前に、スケジュール済みの publish-to-live イベントの入力が検証されていません。
 （OSVDB 103276）

- 印刷モードで表示される前に、記事のタイトルから渡された入力が検証されていません。（OSVDB 103277）

- ユーザーに返される前に、ポートレットのスコープを選択する際、ページタイトルからの入力が検証されていません。（OSVDB 103278）

- ユーザーに返される前に、投稿優先度のタイトルに対する入力が検証されていません。（OSVDB 103279）

- ユーザーに返される前に、サイトマップを使用するページタイトルから渡される入力が検証されていません。
 （OSVDB 103280）

- ユーザーに返される前に、DDL のページリンクからの入力が検証されていません。（OSVDB 103281）

これらの欠陥により、特別に細工されたリクエストを持つリモートの攻撃者が、ブラウザおよびサーバー間の信頼関係内で任意のコードを実行できる可能性があります。

注意：Nessus は、これらの問題のテストや、パッチが適用の有り無しを判断せず、自己報告されたアプリケーションのバージョン番号のみに依存していました。

検出

Liferay Portal 6.2.0 CE GA1 複数の XSS

medium Nessus プラグイン ID 73521

変更ログが見つかりません