W modułach ustawień instancji dla kont w Liferay Portal oraz Liferay DXP istnieje podatność typu reflected cross-site scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML wykonywanego w kontekście przeglądarki ofiary.
▸ Pokaż oryginał (EN)
Reflected cross-site scripting (XSS) vulnerability in the instance settings for Accounts in Liferay Portal 7.4.3.44 through 7.4.3.97, and Liferay DXP 2023.Q3 before patch 6, and 7.4 update 44 through 92 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into the “Blocked Email Domains” text field
Atakujący wstrzykuje spreparowany payload do pola tekstowego 'Blocked Email Domains' w ustawieniach instancji dla kont. Dane wprowadzone w tym polu nie są odpowiednio filtrowane ani kodowane przed wyświetleniem w przeglądarce. Gdy ofiara (np. administrator) odwiedzi odpowiednio spreparowany adres URL lub stronę, złośliwy skrypt zostaje wykonany w jej przeglądarce w kontekście aplikacji. Ze względu na typ reflected XSS, atak wymaga nakłonienia ofiary do interakcji ze złośliwym linkiem.
Atakujący może przejąć sesję zalogowanego użytkownika, wykraść poufne dane lub wykonywać działania w aplikacji w imieniu ofiary. W przypadku gdy ofiarą jest administrator, skutki mogą obejmować pełne przejęcie kontroli nad instancją platformy.
Należy zaktualizować Liferay Portal do wersji powyżej 7.4.3.97 oraz Liferay DXP 2023.Q3 do patch 6 lub nowszego, a Liferay DXP 7.4 do aktualizacji powyżej 92. Szczegółowe informacje o patchach dostępne są w referencjach producenta pod adresem liferay.dev.
Liferay Portal w wersjach 7.4.3.44 do 7.4.3.97 oraz Liferay DXP 2023.Q3 przed patch 6, a także Liferay DXP 7.4 w aktualizacjach od 44 do 92.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:HLiferay Digital Experience Platform
APPLiferay2023.q3.02023.q3.12023.q3.22023.q3.32023.q3.42023.q3.57.4Liferay Portal
APPLiferay7.4.3.44 – 7.4.3.98 (bez)
Powiązane podatności
Deserialization of Untrusted Data in Liferay Portal prior to 7.2.1 CE GA2 allows remote attackers to execute a...
Liferay Portal/DXP: CSRF w Script Console umożliwia wykonanie kodu Groovy
RCE w komponencie workflow Liferay Portal i DXP — brak weryfikacji uprawnień
Stored XSS w widżecie Document and Media platformy Liferay
Reflected XSS w Liferay Portal i DXP na stronie przypisywania ról