There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Multiple stored cross-site scripting (XSS) vulnerabilities in Liferay Portal 7.2.0 through 7.4.3.13, and
    older unsupported versions, and Liferay DXP 7.4 before update 10, 7.3 before update 4, 7.2 before fix pack
    17, and older unsupported versions allow remote authenticated users to inject arbitrary web script or HTML
    via a crafted payload injected into the first/middle/last name text field of the user who creates an entry
    in the (1) Announcement widget, or (2) Alerts widget. (CVE-2024-26266)

遠端主機上安裝的 Liferay Portal 版本是 7.4.3.14 之前的版本。因此，它受到公告中提及的一個弱點影響。

  - Liferay Portal 7.2.0 至 7.4.3.13、不受支援的較舊版本、更新 10 之前的 Liferay DXP 7.4、更新 4 之前的 7.3、fix pack 17 之前的 7.2 以及不受支援的較舊版本中存在多個已儲存跨網站指令碼弱點，經驗證的遠端使用者可藉此透過將特製的承載插入在 (1) 公告小工具或 (2) 警示小工具中建立項目之使用者的名/中間名/姓氏文字欄位中，以插入任意 Web 指令碼或 HTML。(CVE-2024-26266)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Liferay Portal 版本为 7.4.3.14 之前的版本。因此，该应用程序受到公告中提及的漏洞的影响。

  - Liferay Portal 7.2.0 至 7.4.3.13、不受支持的较旧版本、update 10 之前的 Liferay DXP 7.4、update 4 之前的 7.3、 fix pack 17 之前的 7.2 以及不受支持的较旧版本中存在多种存储型跨站脚本 (XSS) 漏洞，经身份验证的远程用户可利用此漏洞，通过构建的负载注入任意 Web 脚本或 HTML，该负载已注入在 (1)“公告”小组件或 (2)“警报”小组件中创建条目的用户的名字/中间名/姓氏文本字段中。(CVE-2024-26266 )

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされた Liferay Portal のバージョンは、7.4.3.14 以前です。したがって、アドバイザリに記載されている脆弱性の影響を受けます。

  - Liferay Portal 7.2.0 から 7.4.3.13、およびより古いサポートされていないバージョン、および Liferay DXP 7.4 の更新 10 より前、7.3 の更新 4 より前、7.2 のフィックスパック 17 より前、およびサポートされていない古いバージョンでは、複数の蓄積型クロスサイトスクリプティング (XSS) により、認証されたリモートのユーザーが、細工されたペイロードを (1) アナウンスメントウィジェット、または (2) アラートウィジェットのエントリを作成するユーザーのファーストネーム / ミドルネーム / ラストネームのテキストフィールドに挿入することで、任意のウェブスクリプトまたは HTML を注入する可能性があります。(CVE-2024-26266)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Liferay Portal installed on the remote host is prior to 7.4.3.14. It is, therefore, affected by a vulnerability as referenced in the advisory.

  - Multiple stored cross-site scripting (XSS) vulnerabilities in Liferay Portal 7.2.0 through 7.4.3.13, and     older unsupported versions, and Liferay DXP 7.4 before update 10, 7.3 before update 4, 7.2 before fix pack     17, and older unsupported versions allow remote authenticated users to inject arbitrary web script or HTML     via a crafted payload injected into the first/middle/last name text field of the user who creates an entry     in the (1) Announcement widget, or (2) Alerts widget. (CVE-2024-26266)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418979	SCA: security update for com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom (GHSA-rwxc-4cmw-7x75)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
418979	SCA: security update for com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom (GHSA-rwxc-4cmw-7x75)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
190931	Liferay Portal 7.4.x < 7.4.3.14 XSS	Nessus	CGI abuses	2024/2/23	2025/5/14	medium
190931	Liferay Portal 7.4.x < 7.4.3.14 XSS	Nessus	CGI abuses	2024/2/23	2025/5/14	medium
190931	Liferay Portal 7.4.x < 7.4.3.14 XSS	Nessus	CGI abuses	2024/2/23	2025/5/14	medium
190931	Liferay Portal 7.4.x < 7.4.3.14 XSS	Nessus	CGI abuses	2024/2/23	2025/5/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium