Plateforme
java
Composant
expando
Corrigé dans
7.4.3
7.3.11
7.2.11
Une vulnérabilité de Cross-Site Scripting (XSS) stockée a été découverte dans le module Expando de Liferay Portal, affectant les versions 7.2.0 à 7.4.2, ainsi que les versions non prises en charge antérieures et Liferay DXP avant le service pack 3 pour 7.3 et avant le fix pack 17 pour 7.2. Cette faille permet à des utilisateurs authentifiés distants d'injecter des scripts web ou du code HTML arbitraire. La mise à jour vers la version 7.4.3 corrige cette vulnérabilité.
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript malveillant dans les pages web de Liferay Portal. Ce code peut être utilisé pour voler des cookies de session, rediriger les utilisateurs vers des sites web malveillants, modifier le contenu de la page ou effectuer des actions au nom de l'utilisateur authentifié. Le risque est particulièrement élevé car l'attaquant peut potentiellement compromettre l'ensemble de l'application et accéder à des données sensibles. Cette vulnérabilité est similaire à d'autres failles XSS qui ont permis aux attaquants de voler des informations d'identification et de prendre le contrôle de comptes utilisateurs.
Cette vulnérabilité a été publiée le 21 février 2024. Il n'y a pas d'indication d'une exploitation active à ce jour, mais la gravité élevée de la vulnérabilité et la disponibilité d'une version corrigée suggèrent qu'elle pourrait être ciblée par des attaquants. La vulnérabilité n'a pas été ajoutée au KEV (Know Exploited Vulnerabilities) à ce jour. Des preuves de concept publiques sont susceptibles d'émerger rapidement.
Organizations using Liferay Portal 7.2.0 through 7.4.2, particularly those with custom applications or integrations that heavily rely on geolocation custom fields, are at significant risk. Shared hosting environments where multiple users have access to Liferay Portal instances are also particularly vulnerable.
• linux / server:
journalctl -u liferay -g 'geolocation custom field' | grep -i '<script' • generic web:
curl -I 'https://your-liferay-portal/your/geolocation/custom/field?name=<script>alert(1)</script>' | grep 'Content-Type: text/html' disclosure
Statut de l'Exploit
EPSS
0.15% (percentile 36%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour Liferay Portal vers la version 7.4.3 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, une solution de contournement consiste à désactiver temporairement le module Expando ou à restreindre l'accès aux champs personnalisés de géolocalisation. L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les tentatives d'injection de code malveillant. Surveillez attentivement les logs d'accès et d'erreurs pour détecter des tentatives d'exploitation suspectes. Après la mise à jour, vérifiez l'intégrité des champs personnalisés de géolocalisation pour vous assurer qu'ils ne contiennent pas de code malveillant.
Mettez à jour Liferay Portal vers la version la plus récente. Pour Liferay DXP 7.3, mettez à jour vers le service pack 3 ou une version ultérieure. Pour Liferay DXP 7.2, mettez à jour vers le fix pack 17 ou une version ultérieure. Cela corrigera la vulnérabilité XSS stockée dans les champs personnalisés de géolocalisation du module Expando.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-25601 is a critical stored cross-site scripting (XSS) vulnerability in Liferay Portal versions 7.2.0 through 7.4.2, allowing authenticated users to inject malicious scripts.
If you are running Liferay Portal versions 7.2.0 through 7.4.2, or older unsupported versions, and Liferay DXP versions prior to service pack 3 for 7.3 and fix pack 17 for 7.2, you are potentially affected.
Upgrade to Liferay Portal version 7.4.3 or later to remediate the vulnerability. Consider input validation and WAF rules as interim measures.
While no public exploits are currently known, the vulnerability's severity and ease of exploitation suggest a high probability of exploitation if left unpatched.
Refer to the official Liferay security advisory for detailed information and mitigation steps: [https://liferay.com/portal/security-advisories](https://liferay.com/portal/security-advisories)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier pom.xml et nous te dirons instantanément si tu es affecté.