CVE-2023-42498

Reflected XSS w ekranie Language Override w Liferay Portal i DXP

CVSS 9.6v3.1pub. 2024-02-21upd. 2025-01-28

Podatność typu reflected cross-site scripting (XSS) w module Language Override w Liferay Portal oraz Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie złośliwego kodu JavaScript lub HTML. Ze względu na wysoki wynik CVSS 9.6 oraz zakres wpływu obejmujący poufność, integralność i dostępność, podatność stanowi poważne zagrożenie dla użytkowników dotkniętych instalacji.

▸ Pokaż oryginał (EN)

Reflected cross-site scripting (XSS) vulnerability in the Language Override edit screen in Liferay Portal 7.4.3.8 through 7.4.3.97, and Liferay DXP 2023.Q3 before patch 5, and 7.4 update 4 through 92 allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_portal_language_override_web_internal_portlet_PLOPortlet_key parameter.

🤖 Analiza AI

Jak działa

Atakujący przesyła ofierze specjalnie spreparowany link zawierający złośliwy payload w parametrze `_com_liferay_portal_language_override_web_internal_portlet_PLOPortlet_key`. Gdy zalogowany użytkownik kliknie ten link, serwer odbija (ang. reflects) niezwalidowany parametr z powrotem do przeglądarki, gdzie jest on wykonywany jako kod skryptowy. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia po stronie atakującego, lecz wymaga interakcji ofiary (UI:R), co jest typowe dla reflected XSS. Zmieniony scope (S:C) wskazuje, że skutki mogą wykraczać poza kontekst samej aplikacji.

Skutki

Atakujący może przejąć sesję zalogowanego użytkownika, wykraść dane uwierzytelniające lub wrażliwe informacje, a także wykonywać działania w imieniu ofiary w kontekście aplikacji Liferay. W przypadku administratorów portalu skutki mogą obejmować pełne przejęcie kontroli nad platformą.

Mitygacja

Należy zaktualizować Liferay DXP 2023.Q3 do patch 5 lub nowszego oraz Liferay DXP 7.4 do update 93 lub nowszego. Dla Liferay Portal należy zastosować patche dostępne u producenta zgodnie z referencjami pod adresem https://liferay.dev/portal/security/known-vulnerabilities. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do ekranu Language Override wyłącznie do zaufanych użytkowników.