Vulnerabilidad de Cross-site scripting (XSS) en el módulo Frontend JS portlet.js en Liferay Portal 7.2.0 hasta 7.4.3.37, y Liferay DXP 7.4 antes de la actualización 38, 7.3 antes de la actualización 11, 7.2 antes del fix pack 20, y versiones no soportadas anteriores.

Un atacante que explote esta vulnerabilidad podría ejecutar código JavaScript malicioso en el navegador de un usuario legítimo. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el control total de la cuenta del usuario. La inyección de scripts arbitrarios permite a los atacantes obtener acceso a información confidencial, realizar acciones en nombre del usuario afectado y comprometer la integridad del sistema. Dada la naturaleza de Liferay Portal como plataforma de desarrollo y gestión de contenido, el impacto puede ser significativo, afectando a la confidencialidad, integridad y disponibilidad de los datos y servicios.

Organizations using Liferay Portal and DXP versions 7.2.0 through 7.4.3.37 are at risk. This includes businesses relying on Liferay for content management, collaboration, and digital experience delivery. Shared hosting environments where multiple customers share the same Liferay instance are particularly vulnerable, as an attacker could potentially compromise other tenants.

• linux / server:

journalctl -u liferay-portal | grep -i 'script' -i 'html'

• generic web:

curl -I https://your-liferay-portal/some/page#<script>alert('XSS')</script> | grep -i 'content-type'

• wordpress / composer / npm: (Not applicable, as Liferay is not a WordPress/Composer/npm component) • database (mysql, redis, mongodb, postgresql): (Not applicable, as the vulnerability is in the frontend JS) • windows / supply-chain: (Not applicable, as Liferay is a Java application)

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. Reservado2024-02-15
2. Publicada2024-02-21
3. Modificada2025-04-22
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar a la versión 7.4.4 o superior de Liferay Portal, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar reglas de Web Application Firewall (WAF) para filtrar las solicitudes que contengan código malicioso en la parte de anclaje de la URL. Además, se pueden aplicar configuraciones de seguridad adicionales en Liferay Portal para restringir la ejecución de scripts en el lado del cliente. Verifique que la configuración de seguridad de contenido (CSP) esté correctamente implementada para mitigar el riesgo de XSS. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs de seguridad y realizando pruebas de penetración.