PT-2024-13188 · Liferay · Liferay Dxp

Amin Achour · Publicado 2024-02-19 · Atualizado 2024-02-20 · CVE-2023-44308

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Liferay DXP 7.4 GA até a atualização 92

Liferay DXP 2023.Q3 antes do patch 6

Descrição

A vulnerabilidade permite que invasores remotos redirecionem usuários para URLs externas arbitrárias por meio do parâmetro com liferay adaptive media web portlet AMPortlet redirect na página de administração de mídia adaptativa.

Recomendações

Para as versões do Liferay DXP 7.4 GA até a atualização 92, atualize para uma versão posterior à atualização 92 para resolver o problema.

Para o Liferay DXP 2023.Q3 antes do patch 6, aplique o patch 6 para corrigir o problema.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro com liferay adaptive media web portlet AMPortlet redirect na página de administração de mídia adaptativa até que um patch seja aplicado.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2023-44308

GHSA-3MRR-CW9Q-727M

Produtos afetados

Liferay Dxp

Referências · 7

• https://github.com/liferay/liferay-portal · Nota
• https://osv.dev/vulnerability/GHSA-3mrr-cw9q-727m · Aviso do Fabricante
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-44308 · Aviso do Fabricante
• https://t.me/cvenotify/71940 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-44308 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-44308 · Nota de Segurança
• https://twitter.com/CVEnew/status/1759829645220839491 · Publicação no Twitter