Vulnerabilidade de Cross-Site Scripting (XSS) armazenada em campos personalizados de geolocalização do módulo Expando em Liferay Portal 7.2.0 até 7.4.2, e versões não suportadas mais antigas, e Liferay DXP 7.3 antes do service pack

A exploração bem-sucedida desta vulnerabilidade XSS permite que um atacante injete código JavaScript malicioso no Liferay Portal. Este código pode ser executado no navegador de outros usuários autenticados, permitindo que o atacante roube cookies de sessão, redirecione usuários para sites maliciosos, ou modifique o conteúdo da página web. O impacto pode variar dependendo do contexto da aplicação e das permissões do usuário afetado, mas em cenários críticos, pode levar ao comprometimento completo da conta do usuário e acesso a dados sensíveis. A natureza armazenada da vulnerabilidade significa que o payload malicioso persiste no sistema, afetando potencialmente todos os usuários que interagem com o campo de nome do campo de geolocalização personalizado.

Organizations using Liferay Portal 7.2.0 through 7.4.2, particularly those with custom applications or integrations that heavily rely on geolocation custom fields, are at significant risk. Shared hosting environments where multiple users have access to Liferay Portal instances are also particularly vulnerable.

• linux / server:

journalctl -u liferay -g 'geolocation custom field' | grep -i '<script' 

• generic web:

curl -I 'https://your-liferay-portal/your/geolocation/custom/field?name=<script>alert(1)</script>' | grep 'Content-Type: text/html' 

1. 2024-02-21Disclosure

   disclosure

1. Reservado2024-02-08
2. Publicada2024-02-21
3. Modificada2024-08-01
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Liferay Portal para a versão 7.4.3 ou superior. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias. Valide e sanitize rigorosamente todas as entradas de usuário, especialmente aquelas relacionadas a campos de geolocalização personalizados. Implemente políticas de segurança de conteúdo (CSP) para restringir as fontes de scripts que podem ser executados no navegador. Monitore os logs do Liferay Portal em busca de atividades suspeitas, como tentativas de injeção de scripts. Considere o uso de um Web Application Firewall (WAF) para bloquear solicitações maliciosas. Após a atualização, confirme a correção verificando se o campo de nome do campo de geolocalização personalizado não permite mais a injeção de scripts.