Liferay Portal < 6.0.6 多种漏洞

high Nessus 插件 ID 59230

语言：

简介

远程 Web 服务器包含受到多种漏洞影响的 Java 应用程序。

描述

根据其自我报告的版本号，远程 Web 服务器上托管的 Liferay Portal 安装受到多种漏洞的影响：

- 当使用 Apache Tomcat 时存在任意文件下载漏洞，这允许远程经认证的用户结合与 XML 外部实体（又称为 XXE）问题相关的实体引用通过实体声明下载任意文件。(CVE-2011-1502)

- 当使用 Apache Tomcat 或 Oracle GlassFish 时，存在一个任意文件下载漏洞。XSL Content portlet 允许远程经认证的用户通过 file:/// URL 读取任意 XSL / XML 文件。
(CVE-2011-1503)

- 存在一个跨站脚本漏洞，可允许经认证的远程攻击者通过博客标题注入任意 JavaScript 或 HTML。(CVE-2011-1504)

- 当使用 Apache Tomcat 时存在一个跨站脚本漏洞，可允许经认证的远程攻击者通过消息标题注入任意 JavaScript 或 HTML。(CVE-2011-1570)

- 当使用 Apache Tomcat 时存在一个不明漏洞。XSL Content portlet 允许远程攻击者通过不明矢量执行任意命令。
(CVE-2011-1571)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。