PT-2024-13048 · Liferay · Liferay Portal+1
Amin Achour
·
Publicado
2024-02-20
·
Atualizado
2025-01-28
·
CVE-2023-42496
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Liferay Portal, versões 7.3.3 a 7.4.3.97
Liferay DXP 2023.Q3 antes do patch 6
Liferay DXP 7.4 GA até a atualização 92
Liferay DXP 7.3 antes da atualização 34
Descrição
Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na página de adição de atribuídos a uma função, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio do parâmetro
com liferay roles admin web portlet RolesAdminPortlet tabs2. Isso permite que invasores executem scripts maliciosos no navegador da vítima.Recomendações
Para as versões do Liferay Portal 7.3.3 a 7.4.3.97, atualize para uma versão fora desse intervalo para resolver o problema.
Para o Liferay DXP 2023.Q3, aplique o patch 6 ou posterior.
Para o Liferay DXP 7.4 GA, aplique a atualização 93 ou posterior.
Para o Liferay DXP 7.3, aplique a atualização 35 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à página “Adicionar atribuídos a uma função” até que um patch seja aplicado. Evite usar o parâmetro
com liferay roles admin web portlet RolesAdminPortlet tabs2 na página afetada até que o problema seja resolvido.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal