El módulo Dynamic Data Mapping de Liferay Portal, DDMForm y Liferay DXP son vulnerables a Cross-site Scripting (XSS) almacenado

Un atacante puede aprovechar esta vulnerabilidad para ejecutar scripts maliciosos en el navegador de otros usuarios autenticados en Liferay Portal. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso la ejecución remota de código. El impacto es particularmente grave porque la inyección se realiza de forma almacenada, lo que significa que el script malicioso persiste en el sistema y puede afectar a múltiples usuarios. La explotación exitosa podría comprometer la confidencialidad, integridad y disponibilidad del sistema Liferay Portal y los datos asociados.

Organizations using Liferay Portal and DXP in environments where authenticated users have access to the Dynamic Data Mapping module are at risk. This includes businesses utilizing Liferay for content management, intranet portals, and customer experience platforms. Legacy Liferay installations running unsupported versions are particularly vulnerable due to lack of security updates.

• linux / server: Examine Liferay Portal access logs for suspicious requests targeting the DDMForm with unusual parameters in the instanceId field. Use grep to search for patterns like <script> or javascript: within these requests.

grep -i '<script' /path/to/liferay/portal/logs/access.log

• generic web: Use curl to test the DDMForm endpoint with a simple XSS payload in the instanceId parameter and observe the response for signs of script execution.

curl -X POST -d "instanceId=<script>alert('XSS')</script>" <liferay_portal_url>/ddm/forms/<form_id>

• java: Monitor Liferay Portal's internal logging for errors related to DDMForm processing or unexpected script execution. Analyze stack traces for clues related to the vulnerability. • wordpress / composer / npm: N/A - This vulnerability is specific to Liferay Portal, not WordPress or its dependencies. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability is not related to database systems.

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. Reservado2024-02-08
2. Publicada2024-02-21
3. Modificada2025-01-28
4. EPSS actualizado2026-04-02

La solución principal es actualizar Liferay Portal a la versión 7.4.3.5 o posterior. Si la actualización inmediata no es posible, se recomienda implementar mitigaciones temporales. Estas pueden incluir la validación y el saneamiento exhaustivos de la entrada del usuario en el módulo Dynamic Data Mapping, así como la implementación de políticas de seguridad de contenido (CSP) para restringir la ejecución de scripts en la página web. Además, se recomienda revisar y fortalecer las políticas de acceso y autenticación para limitar el número de usuarios autenticados que pueden acceder al módulo vulnerable. Tras la actualización, confirme la mitigación revisando los registros de auditoría en busca de intentos de inyección de XSS.