Liferay Portal y Liferay DXP vulnerables a Cross-site Scripting (XSS) almacenado

Un atacante puede explotar estas vulnerabilidades inyectando scripts maliciosos en los campos de nombre (primero, medio o apellido) de un usuario al crear una entrada en los widgets Announcement o Alerts. Estos scripts pueden ser utilizados para robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos, o incluso ejecutar código arbitrario en el contexto del usuario afectado. El impacto es significativo, ya que permite la ejecución de código en el navegador del usuario, lo que puede resultar en la pérdida de datos confidenciales o el control completo de la cuenta. La naturaleza almacenada de la vulnerabilidad significa que el ataque puede afectar a múltiples usuarios que interactúan con los widgets afectados.

Organizations utilizing Liferay Portal 7.2.0 through 7.4.3.13, and older unsupported versions, and Liferay DXP versions prior to update 10 are at risk. This includes businesses relying on Liferay for content management, intranet portals, and customer experience platforms. Shared hosting environments where multiple users have access to create content within Liferay are particularly vulnerable.

• linux / server:

journalctl -u liferay-portal | grep -i "XSS"

• generic web:

curl -I https://<liferay_portal_url>/ | grep -i "X-XSS-Protection"

• wordpress / composer / npm: (Not applicable as Liferay is not a WordPress/Composer/npm component) • database (mysql, redis, mongodb, postgresql): (Not applicable as the vulnerability is not directly related to the database) • windows / supply-chain: (Not applicable as Liferay is not a Windows/supply-chain component)

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. Reservado2024-02-15
2. Publicada2024-02-21
3. Modificada2025-01-28
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar Liferay Portal a la versión 7.4.3.14 o superior. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a los widgets Announcement y Alerts a usuarios de confianza. Además, se pueden implementar reglas en un Web Application Firewall (WAF) para filtrar entradas sospechosas en los campos de nombre. Es crucial revisar y validar todas las entradas de usuario antes de mostrarlas en la interfaz de usuario. Tras la actualización, verificar la correcta aplicación de la solución mediante la simulación de ataques XSS en los widgets afectados.