PT-2024-13049 · Liferay · Liferay Portal+1
Amin Achour
·
Publicado
2024-02-20
·
Atualizado
2025-01-28
·
CVE-2023-42498
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Liferay Portal, versões 7.4.3.8 a 7.4.3.97
Liferay DXP 2023.Q3 antes do patch 5
Liferay DXP, versões 7.4, atualização 4 a 92
Descrição
Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na tela de edição de substituição de idioma, permitindo que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro
com liferay portal language override web internal portlet PLOPortlet key. Isso permite que invasores executem código malicioso no navegador da vítima.Recomendações
Para as versões 7.4.3.8 a 7.4.3.97 do Liferay Portal, atualize para uma versão fora desse intervalo para resolver o problema.
Para o Liferay DXP 2023.Q3, aplique o patch 5 para corrigir a vulnerabilidade.
Para as versões 7.4 update 4 a 92 do Liferay DXP, atualize para uma versão fora desse intervalo ou aplique o patch necessário para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à tela de edição de Substituição de Idioma até que um patch esteja disponível. Evite usar o parâmetro
com liferay portal language override web internal portlet PLOPortlet key no endpoint da API afetado até que o problema seja resolvido.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal