根据其自我报告的版本号，远程主机上运行的 Liferay Portal 版本为 6.2.0。因此，它可能会受到以下跨站脚本漏洞的影响：

- 在回收站中显示从页面标题传递的输入之前未对其进行审查。(OSVDB 103269)

- 在 Poll 中显示从用户配置文件传递的输入之前未对其进行验证。(OSVDB 103270)

- 在“历史记录”选项卡中显示从用户配置文件传递的输入之前未对其进行验证。(OSVDB 103271)

- 在向管理员显示从用户配置文件传递的输入之前未对其进行验证。(OSVDB 103272)

- 在书签中显示从用户配置文件传递的输入之前未对其进行验证。(OSVDB 103273)

- 将从“外观和感觉”对话框传递的输入返回用户之前未对其进行验证。
 (OSVDB 103274)

- 未针对各种 portlet 对显示搜索结果时的输入进行验证。(OSVDB 103275)

- 将计划 publish-to-live 事件的输入返回用户之前未对其进行验证。
 (OSVDB 103276)

- 在打印模式中显示来自文章标题的输入之前未对其进行验证。(OSVDB 103277)

- 为 portlet 选择范围时，将来自页面标题的输入返回用户之前未对其进行验证。(OSVDB 103278)

- 将对 post 优先级标题的输入返回用户之前未对其进行验证。(OSVDB 103279)

- 将使用站点地图从页面标题传递的输入返回用户之前未对其进行验证。
 (OSVDB 103280)

- 将来自 DDL 中页面链接的输入返回用户之前未对其进行验证。(OSVDB 103281)

这些缺陷可允许远程攻击者通过特别构建的请求，在浏览器与服务器之间的信任关系中执行任意代码。

请注意，Nessus 未测试这些问题或确定是否已应用修补程序，而是只依赖于应用程序自我报告的版本号。

检测

Liferay Portal 6.2.0 CE GA1 多个 XSS

medium Nessus 插件 ID 73521

未找到变更日志