Expando मॉड्यूल के भू-स्थान (Geolocation) कस्टम फ़ील्ड में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता Liferay Portal 7.2.0 से 7.4.2, और पुराने असमर्थित संस्करणों, और Liferay DXP 7.3 सर्विस पैक 3 से पहले, 7.2 फिक्स पैक 17 से पहले, और पुराने असमर्थित संस्करणों में मौजूद है।

यह XSS भेद्यता हमलावरों को Liferay Portal एप्लिकेशन में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देती है, जो उपयोगकर्ता के ब्राउज़र के संदर्भ में होता है। हमलावर कुकीज़ चुरा सकते हैं, उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट कर सकते हैं, या वेबपेज की सामग्री को बदल सकते हैं। चूंकि भेद्यता संग्रहीत XSS है, इसलिए हमलावर को केवल एक बार दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की आवश्यकता होती है, और यह हर बार प्रभावित पृष्ठ लोड होने पर निष्पादित होगी। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह प्रमाणित उपयोगकर्ताओं को प्रभावित करती है, जिसका अर्थ है कि हमलावर को सिस्टम तक पहुंचने के लिए क्रेडेंशियल प्राप्त करने की आवश्यकता नहीं है। यदि हमलावर किसी व्यवस्थापक खाते को लक्षित करने में सक्षम है, तो वे सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकते हैं।

Organizations using Liferay Portal 7.2.0 through 7.4.2, particularly those with custom applications or integrations that heavily rely on geolocation custom fields, are at significant risk. Shared hosting environments where multiple users have access to Liferay Portal instances are also particularly vulnerable.

• linux / server:

journalctl -u liferay -g 'geolocation custom field' | grep -i '<script' 

• generic web:

curl -I 'https://your-liferay-portal/your/geolocation/custom/field?name=<script>alert(1)</script>' | grep 'Content-Type: text/html' 

1. 2024-02-21Disclosure

   disclosure

1. आरक्षित2024-02-08
2. प्रकाशित2024-02-21
3. संशोधित2024-08-01
4. EPSS अद्यतन2026-04-02

CVE-2024-25601 को कम करने का प्राथमिक तरीका Liferay Portal को संस्करण 7.4.3 या बाद के संस्करण में अपडेट करना है, जिसमें भेद्यता के लिए एक पैच शामिल है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) को कॉन्फ़िगर किया जा सकता है ताकि दुर्भावनापूर्ण स्क्रिप्ट इंजेक्शन के प्रयासों को ब्लॉक किया जा सके। इसके अतिरिक्त, इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू करके एक्सपैंडो मॉड्यूल में कस्टम फ़ील्ड के नाम टेक्स्ट फ़ील्ड के लिए इनपुट को सैनिटाइज करना मदद कर सकता है। Liferay के सुरक्षा सलाहकार में उल्लिखित विशिष्ट कॉन्फ़िगरेशन परिवर्तनों की समीक्षा करें। अपडेट के बाद, यह सत्यापित करें कि भेद्यता अब मौजूद नहीं है, कस्टम फ़ील्ड में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने का प्रयास करके और यह सुनिश्चित करके कि स्क्रिप्ट निष्पादित नहीं होती है।