Premier Ministre

S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 25 avril 2022

N° CERTFR-2022-AVI-383

Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Liferay Portal

Gestion du document

Référence	CERTFR-2022-AVI-383
Titre	Vulnérabilité dans Liferay Portal
Date de la première version	25 avril 2022
Date de la dernière version	28 avril 2022
Source(s)	Bulletin de sécurité Liferay du 24 janvier 2022
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Injection de code indirecte à distance (XSS)

Systèmes affectés

Liferay Portal version 7.3.7 GA8 sans le dernier correctif de sécurité
Liferay Portal versions 7.4.x antérieures à 7.4 GA2

Résumé

Une vulnérabilité a été découverte dans Liferay Portal. Elle permet à un attaquant de provoquer une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Liferay du 24 janvier 2022

https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/cve-2022-26594-xss-vulnerability-with-form-field-help-text

Référence CVE CVE-2022-26594

https://www.cve.org/CVERecord?id=CVE-2022-26594

Gestion détaillée du document

le 25 avril 2022: Version initiale
le 28 avril 2022: Modification de la version 7.3.7 affectée.