Liferay Portal および Liferay DXP には、保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します

このXSS脆弱性は、攻撃者がユーザーのセッションを乗っ取ったり、悪意のあるコンテンツを表示したり、ユーザーを偽のウェブサイトにリダイレクトしたりすることを可能にします。攻撃者は、AnnouncementウィジェットまたはAlertsウィジェットのユーザー名フィールドに悪意のあるJavaScriptコードを注入することで、被害者のブラウザ上でそのコードを実行させることができます。これにより、Cookieの窃取、機密情報の詐取、さらにはシステムへの完全な制御といった深刻な被害が発生する可能性があります。この脆弱性は、Liferay Portal を利用している組織にとって重大な脅威となります。

Organizations utilizing Liferay Portal 7.2.0 through 7.4.3.13, and older unsupported versions, and Liferay DXP versions prior to update 10 are at risk. This includes businesses relying on Liferay for content management, intranet portals, and customer experience platforms. Shared hosting environments where multiple users have access to create content within Liferay are particularly vulnerable.

• linux / server:

journalctl -u liferay-portal | grep -i "XSS"

• generic web:

curl -I https://<liferay_portal_url>/ | grep -i "X-XSS-Protection"

• wordpress / composer / npm: (Not applicable as Liferay is not a WordPress/Composer/npm component) • database (mysql, redis, mongodb, postgresql): (Not applicable as the vulnerability is not directly related to the database) • windows / supply-chain: (Not applicable as Liferay is not a Windows/supply-chain component)

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. 予約済み2024-02-15
2. 公開日2024-02-21
3. 更新日2025-01-28
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずLiferay Portal を 7.4.3.14 以降のバージョンにアップグレードすることを推奨します。アップグレードが困難な場合は、WAF (Web Application Firewall) を導入し、XSS攻撃を検知・防御するルールを設定してください。また、AnnouncementウィジェットおよびAlertsウィジェットのユーザー名フィールドへの入力値を厳密に検証し、HTMLエンコードなどのサニタイズ処理を適用することで、攻撃のリスクを軽減できます。アップグレード後、Liferay Portal のログを確認し、異常なアクティビティがないか監視してください。