According to its self-reported version number, the installation of Liferay Portal hosted on the remote web server is affected by multiple vulnerabilities :

  - An arbitrary file download vulnerability exists when     Apache Tomcat is used, which allows remote,     authenticated users to download arbitrary files via an     entity declaration in conjunction with an entity     reference, related to an XML External Entity (aka XXE)     issue. (CVE-2011-1502)

  - An arbitrary file download vulnerability exists when     Apache Tomcat or Oracle GlassFish is used. The XSL     Content portlet allows remote, authenticated users to     read arbitrary XSL / XML files via a file:/// URL.
    (CVE-2011-1503)

  - A cross-site scripting vulnerability exists, which     allows remote, authenticated users to inject arbitrary     JavaScript or HTML via a blog title. (CVE-2011-1504)

  - A cross-site scripting vulnerability exists when Apache     Tomcat is used, which allows remote, authenticated users     to inject arbitrary JavaScript or HTML via a message     title. (CVE-2011-1570)

  - An unspecified vulnerability exists when Apache Tomcat     is used. The XSL Content portlet allows remote attackers     to execute arbitrary commands via unknown vectors.
    (CVE-2011-1571)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモート Web サーバーでホストされている Liferay Portal のインストールは、複数の脆弱性の影響を受けます：

- Apache Tomcat 使用時に任意のファイルダウンロード脆弱性が存在し、それにより、リモートの認証されたユーザーは、XML 外部エンティティ（別称 XXE）問題に関連するエンティティ参照とエンティティ宣言を組み合わせることにより、任意のファイルをダウンロードする可能性があります。（CVE-2011-1502）

- Apache Tomcat あるいは Oracle GlassFish の使用時に、任意のファイルダウンロード脆弱性が存在します。XSL Content ポートレットにより、認証されていないリモートユーザーは file:/// URL を通じて任意の XSL / XML ファイルを読み取る可能性があります。
 （CVE-2011-1503）

- クロスサイトスクリプティングの脆弱性が存在し、それにより、リモートの認証されたユーザーが、ブログのタイトルを介して、任意の JavaScript または HTML を注入する可能性があります。（CVE-2011-1504）

- Apache Tomcat 使用時、クロスサイトスクリプティングの脆弱性が存在し、それにより、リモートの認証されたユーザーが、メッセージタイトルを介して、任意の JavaScript または HTML を注入する可能性があります。（CVE-2011-1570）

- Apache Tomcat 使用時に、詳細不明な脆弱性が存在します。XSL Content ポートレットにより、リモートの攻撃者は不明なベクターを介して任意のコマンドを実行する可能性があります。
 （CVE-2011-1571）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

根據其自我報告的版本號碼，遠端 web 伺服器上主控的 Liferay Portal 安裝受到多個弱點影響：

- 使用 Apache Tomcat 時存在一個任意檔案下載弱點，其可允許經驗證的遠端使用者透過與實體參照配合的實體宣告下載任意檔案，其與 XML 外部實體 (即 XXE) 問題相關。(CVE-2011-1502)

- 使用 Apache Tomcat 或 Oracle GlassFish 時存在一個任意檔案下載弱點。XSL Content portlet 允許經驗證的遠端使用者透過 file:/// URL 讀取任意 XSL / XML 檔案。
 (CVE-2011-1503)

- 存在一個跨網站指令碼弱點，可讓經驗證的遠端使用者透過部落格標題插入任意 JavaScript 或 HTML。(CVE-2011-1504)

- 使用 Apache Tomcat 時存在一個跨網站指令碼弱點，可讓經驗證的遠端使用者透過訊息標題插入任意 JavaScript 或 HTML。(CVE-2011-1570)

- 使用 Apache Tomcat 時存在一個不明弱點。XSL Content portlet 允許遠端攻擊者透過未知向量執行任意命令。
 (CVE-2011-1571)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，远程 Web 服务器上托管的 Liferay Portal 安装受到多种漏洞的影响：

- 当使用 Apache Tomcat 时存在任意文件下载漏洞，这允许远程经认证的用户结合与 XML 外部实体（又称为 XXE）问题相关的实体引用通过实体声明下载任意文件。(CVE-2011-1502)

- 当使用 Apache Tomcat 或 Oracle GlassFish 时，存在一个任意文件下载漏洞。XSL Content portlet 允许远程经认证的用户通过 file:/// URL 读取任意 XSL / XML 文件。
 (CVE-2011-1503)

- 存在一个跨站脚本漏洞，可允许经认证的远程攻击者通过博客标题注入任意 JavaScript 或 HTML。(CVE-2011-1504)

- 当使用 Apache Tomcat 时存在一个跨站脚本漏洞，可允许经认证的远程攻击者通过消息标题注入任意 JavaScript 或 HTML。(CVE-2011-1570)

- 当使用 Apache Tomcat 时存在一个不明漏洞。XSL Content portlet 允许远程攻击者通过不明矢量执行任意命令。
 (CVE-2011-1571)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
59230	Liferay Portal < 6.0.6 Multiple Vulnerabilities	Nessus	CGI abuses	2012/5/22	2022/4/11	high
59230	Liferay Portal < 6.0.6 複数の脆弱性	Nessus	CGI abuses	2012/5/22	2022/4/11	high
59230	Liferay Portal < 6.0.6 多個弱點	Nessus	CGI abuses	2012/5/22	2022/4/11	high
59230	Liferay Portal < 6.0.6 多种漏洞	Nessus	CGI abuses	2012/5/22	2022/4/11	high

偵測

搜尋 Plugin

high

high

high

high