Expando 模块的地理位置自定义字段中存在存储型跨站脚本 (XSS) 漏洞，影响 Liferay Portal 7.2.0 至 7.4.2 版本，以及较旧的未支持版本，和 Liferay DXP 7.3 在 service pack 3 之前的版本。

该 XSS 漏洞允许攻击者在受影响的 Liferay Portal 实例中注入任意的 Web 脚本或 HTML。攻击者可以利用此漏洞窃取用户凭据、重定向用户到恶意网站、篡改网站内容，甚至劫持用户会话。由于漏洞影响的是身份验证用户，因此攻击者可能能够利用该漏洞访问敏感数据或执行未经授权的操作。如果攻击者能够控制网站内容，则可能导致更广泛的损害，例如传播恶意软件或进行网络钓鱼攻击。该漏洞的 CVSS 评分为 9 (CRITICAL)，表明其潜在影响非常严重。

Organizations using Liferay Portal 7.2.0 through 7.4.2, particularly those with custom applications or integrations that heavily rely on geolocation custom fields, are at significant risk. Shared hosting environments where multiple users have access to Liferay Portal instances are also particularly vulnerable.

• linux / server:

journalctl -u liferay -g 'geolocation custom field' | grep -i '<script' 

• generic web:

curl -I 'https://your-liferay-portal/your/geolocation/custom/field?name=<script>alert(1)</script>' | grep 'Content-Type: text/html' 

1. 2024-02-21Disclosure

   disclosure

1. 已保留2024-02-08
2. 发布日期2024-02-21
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级到 Liferay Portal 7.4.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制用户对地理位置自定义字段的访问权限，只允许授权用户进行修改。其次，实施严格的输入验证和输出编码，以防止恶意脚本注入。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以检测和阻止 XSS 攻击。最后，定期审查和更新 Liferay Portal 的安全配置，以确保其安全性。