Liferay Portal et Liferay DXP Vulnérables à CSRF dans la Console Script

Un attaquant exploitant cette vulnérabilité peut injecter des requêtes malveillantes via une URL ou une faille de Cross-Site Scripting (XSS) existante. Ces requêtes, si elles sont exécutées par un utilisateur authentifié, peuvent permettre à l'attaquant d'effectuer des actions en son nom, telles que la modification de configurations, la création ou la suppression d'utilisateurs, ou l'exécution de code arbitraire via la console de script. Le risque est particulièrement élevé si des utilisateurs disposent de privilèges d'administration. L'exécution de scripts Groovy arbitraires peut compromettre l'intégrité et la confidentialité des données, voire permettre la prise de contrôle complète du serveur Liferay. Cette vulnérabilité est similaire en impact à des failles permettant l'exécution de code à distance, car elle contourne les mécanismes d'authentification.

Organizations heavily reliant on Liferay Portal for their web applications and content management are at significant risk. This includes businesses using Liferay for customer portals, e-commerce platforms, or internal applications. Environments with legacy Liferay configurations or those lacking robust security practices are particularly vulnerable.

• linux / server: Monitor Liferay Portal logs for unusual script execution attempts or suspicious URLs containing script console references. Use journalctl -f to monitor for related errors.

journalctl -f | grep "Script Console" 

• generic web: Use curl to test for CSRF vulnerabilities by crafting malicious requests targeting the Script Console.

curl -X POST -d 'some_malicious_script' https://your-liferay-portal/scriptconsole 

• java: Review Liferay Portal's security configuration files for proper CSRF protection settings. Check for any disabled or misconfigured CSRF filters.

1. 2024-10-22Disclosure

   disclosure

2. 2024-10-22Patch

   patch

1. Réservé2024-09-18
2. Publiée2024-10-22
3. Modifiée2025-07-29
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à appliquer la mise à jour corrective vers Liferay Portal 7.4.3.102 ou une version ultérieure de DXP. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant l'accès à la console de script et en désactivant les fonctionnalités inutiles. L'implémentation de politiques de sécurité de contenu (CSP) peut également aider à atténuer le risque d'exploitation. En cas d'impossibilité de mettre à jour immédiatement, envisagez de restreindre l'accès à la console de script via des règles de pare-feu ou des contrôles d'accès basés sur les rôles. Après la mise à jour, vérifiez que la console de script est correctement protégée et que les autorisations des utilisateurs sont conformes aux exigences de sécurité.