Vulnerabilidad de Cross-site scripting (XSS) en HtmlUtil.escapeJsLink en Liferay Portal 7.2.0 hasta 7.4.1, y versiones no soportadas más antiguas, y Liferay DXP 7.3 antes del service pack 3, 7.2 antes del fix pack 15, y versiones no soportadas más antiguas permite a atacantes remotos inyectar scripts web o HTML arbitrarios a través de enlaces javascript: style manipulados.

Un atacante que explote con éxito esta vulnerabilidad XSS podría ejecutar código JavaScript arbitrario en el contexto del navegador de la víctima. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el acceso a información sensible almacenada en el navegador. El impacto potencial es significativo, ya que un atacante podría comprometer cuentas de usuario, obtener acceso no autorizado a datos confidenciales y realizar acciones en nombre del usuario afectado. La inyección de código malicioso podría ser sutil y difícil de detectar, lo que aumenta el riesgo de explotación a largo plazo.

Organizations heavily reliant on Liferay Portal for content management, intranet portals, or customer-facing applications are at significant risk. Specifically, deployments using older, unsupported versions of Liferay Portal are particularly vulnerable, as they no longer receive security updates. Shared hosting environments where multiple tenants share the same Liferay Portal instance are also at increased risk, as a compromise of one tenant could potentially affect others.

• linux / server:

journalctl -u liferay-portal | grep -i "javascript:"

• generic web:

curl -I <liferay_portal_url>/path/to/vulnerable/endpoint | grep -i "Content-Security-Policy"

• wordpress / composer / npm: (Not applicable, as Liferay is not a WordPress/Composer/npm component) • database (mysql, redis, mongodb, postgresql): (Not applicable, as the vulnerability is not database-related) • windows / supply-chain: (Not applicable, as the vulnerability is not Windows/supply-chain related)

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. Reservado2024-02-06
2. Publicada2024-02-21
3. Modificada2025-04-22
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-25147 es actualizar a la versión corregida de Liferay Portal, 7.4.2 o a las versiones correspondientes de Liferay DXP. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento rigurosos de todas las entradas de usuario. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear patrones de ataque XSS conocidos. Monitorear los registros del servidor en busca de patrones sospechosos de inyección de código también puede ayudar a detectar y responder a posibles ataques.