Podatności Liferay Portal

Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.

Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.

Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.

Wiele luk typu cross-site scripting (XSS) w szablonie treści web w strukturze select page w Liferay Portal 7.4.3.35 do 7.4.3.111 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 update 35 do update 92 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach tekstowych (1) First Name, (2) Middle Name lub (3) Last Name użytkownika.

Luka typu Reflected Cross-Site Scripting (XSS) w Languauge Override w Liferay Portal 7.4.3.8 do 7.4.3.111 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10 i 7.4 update 4 do update 92 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez parametr `_com_liferay_portal_language_override_web_internal_portlet_PLOPortlet_selectedLanguageId`.

Podatność cross-site scripting (XSS) w widżecie Blogs w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.8, 7.4 GA do update 92, 7.3 GA do update 36 i starszych nieobsługiwanych wersjach pozwala zdalnym atakującym wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany element <iframe> wstrzyknięty do pola tekstowego "Content" wpisu blogowego. Widżet Blogs w Liferay DXP nie dodaje atrybutu sandbox do elementów <iframe>, co pozwala zdalnym atakującym na dostęp do strony nadrzędnej poprzez skrypty i linki w ramce.

Domyślnie Liferay Portal 7.4.0 do 7.4.3.119 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze nieobsługiwane wersje są podatne na ataki DNS rebinding, co pozwala zdalnym atakującym przekierowywać użytkowników na dowolne zewnętrzne adresy URL. Podatność można złagodzić zmieniając zabezpieczenie adresu URL przekierowania z IP na domenę.

Podatność na enumerację haseł w Liferay Portal 7.4.0 do 7.4.3.119 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach. Umożliwia zdalnym atakującym ustalenie hasła użytkownika za pomocą ataku brute force, nawet gdy włączona jest blokada konta.

W Liferay Portal i Liferay DXP występuje podatność CSRF w Headless API. Zdalny atakujący może wykonać dowolne wywołanie Headless API poprzez parametr `endpoint`.

Liferay Portal i Liferay DXP nie ograniczają liczby obiektów zwracanych w odpowiedziach Headless API. Umożliwia to zdalnym atakującym przeprowadzenie ataku typu denial-of-service (DoS) poprzez żądanie zwracające dużą liczbę obiektów.

Podatność polegająca na ujawnieniu informacji poprzez pliki dziennika w funkcji importu LDAP w Liferay Portal 7.4.0 do 7.4.3.97 i starszych nieobsługiwanych wersjach oraz Liferay DXP 2023.Q3.1 do 2023.Q3.4, 7.4 GA do update 92, 7.3 GA do update 35 i starszych nieobsługiwanych wersjach pozwala lokalnym użytkownikom na przeglądanie adresów e-mail użytkowników w plikach dziennika.

Wiele podatności typu cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Title” roli konta oraz w polu „Name” organizacji. Podatność występuje w wersjach Portal 7.3.7–7.4.3.103 oraz DXP 2023.Q3.1–2023.Q3.4, 7.4 GA–update 92 i 7.3 SP3–update 36.

Liferay Portal (wersje 7.4.0 do 7.4.3.97 i starsze) oraz Liferay DXP (określone wersje) zawierają podatność open redirect w administracji stroną. Zdalny atakujący może przekierować użytkowników na dowolne zewnętrzne adresy URL za pomocą parametru _com_liferay_layout_admin_web_portlet_GroupPagesPortlet_redirect.

Liferay Portal (wersje 7.4.0 do 7.4.3.132) oraz Liferay DXP (określone wersje) są podatne na odbity XSS w parametrze google_gadget. Zdalny, nieuwierzytelniony atakujący może wstrzyknąć JavaScript.

Nieprawidłowa autoryzacja w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wysyłanie złośliwych danych, które są traktowane jako zaufane poprzez nieuwierzytelnione komunikaty klastra.

Wiele podatności typu stored cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym użytkownikom wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska użytkownika, wyświetlany w komentarzach, wpisach bloga, komentarzach do dokumentów, wiadomościach na forum, komentarzach wiki i innych widgetach obsługujących wzmianki. Podatność dotyczy Portal 7.4.0–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 GA–update 92.

W Liferay Portal i Liferay DXP występuje podatność IDOR dotycząca adresów kont. Zdalny uwierzytelniony użytkownik może przeglądać adresy z innego konta poprzez parametr _com_liferay_account_admin_web_internal_portlet_AccountEntriesAdminPortlet_addressId.

Podatność typu stored cross-site scripting (XSS) na stronie Membership w Account Settings w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Name” konta. Podatność dotyczy Portal 7.4.3.21–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 21–update 92.

Podatność typu stored cross-site scripting (XSS) na stronie widoku zamówienia w Commerce w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Name” konta. Podatność dotyczy Portal 7.4.3.8–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 8–update 92.

Wiele podatności typu cross-site scripting (XSS) związanych z wydarzeniami w kalendarzu w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska użytkownika. Podatność dotyczy Portal 7.4.3.35–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.7, 7.4 update 35–update 92, 7.3 update 25–update 36.

Podatność typu stored cross-site scripting (XSS) w produktach typu diagram w Commerce w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w pliku SVG. Podatność dotyczy Portal 7.4.3.18–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 18–update 92.

Podatność typu cross-site scripting (XSS) w widgecie Commerce Product Comparison Table w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Name” produktu Commerce. Podatność dotyczy Portal 7.4.0–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 GA–update 92.

Wiele podatności typu stored cross-site scripting (XSS) w Liferay Portal 7.4.3.15–7.4.3.111 oraz Liferay DXP (2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 15–92). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy warunku (Terms and Condition) na stronie podglądu zamówienia.

Podatność cross-site scripting (XSS) w widgecie Commerce Search Result w Liferay Portal 7.4.0–7.4.3.111 oraz Liferay DXP (2023.Q4 przed patchem 6, 2023.Q3 przed patchem 9, 7.4 GA–update 92). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy produktu Commerce.

W Liferay Portal i Liferay DXP wrażliwe dane użytkowników mogą zostać ujęte w szablonie Freemarker. Słabość ta pozwala nieuprawnionemu podmiotowi uzyskać dostęp do poufnych informacji, które powinny pozostać ograniczone.

W ComboServlet w Liferay Portal i Liferay DXP występuje możliwa podatność na przejście ścieżki (path traversal) oraz odmowę usługi. Zdalny atakujący może uzyskać dostęp do dowolnych plików CSS i JSS oraz wielokrotnie ładować pliki poprzez ciąg zapytania w URL.

Podatność cross-site scripting (XSS) w widgecie Calendar w Liferay Portal 7.4.3.35–7.4.3.110 oraz Liferay DXP (2023.Q4.0–2023.Q4.4, 2023.Q3.1–2023.Q3.6, 7.4 update 35–92, 7.3 update 25–36). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy kalendarza.

Wiele podatności typu stored cross-site scripting (XSS) w selektorze powiązanych zasobów w Liferay Portal 7.4.3.50–7.4.3.111 oraz Liferay DXP (2023.Q4.0–2023.Q4.4, 2023.Q3.1–2023.Q3.7, 7.4 update 50–92). Uwierzytelniony zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska autora zasobu.

Podatność na odbity cross-site scripting (XSS) w Liferay Portal 7.4.0 do 7.4.3.112 oraz Liferay DXP 2024.Q1.1 do 2024.Q1.18 i 7.4 GA do update 92. Zdalny uwierzytelniony atakujący może wstrzyknąć kod JavaScript przez parametr _com_liferay_commerce_product_definitions_web_internal_portlet_CPDefinitionsPortlet_productTypeName. Złośliwy kod jest odbijany i wykonywany w przeglądarce użytkownika.

Podatność typu Insecure Direct Object Reference (IDOR) w notatkach do zamówień commerce w Liferay Portal 7.3.5 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.8, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym uwierzytelnionym użytkownikom na dodawanie notatek do zamówienia w innej instancji wirtualnej za pomocą parametru _com_liferay_commerce_order_web_internal_portlet_CommerceOrderPortlet_commerceOrderId.

Batch Engine w Liferay Portal 7.4.0 do 7.4.3.112 oraz Liferay DXP w wersjach 2023.Q4.0–2023.Q4.7, 2023.Q3.1–2023.Q3.10 i 7.4 GA do update 92 nie sprawdza prawidłowo uprawnień przy zadaniach importu i eksportu. Umożliwia to zdalnym uwierzytelnionym użytkownikom dostęp do wyeksportowanych danych poprzez interfejsy REST API.

Podatność typu stored cross-site scripting (XSS) w widgecie powiadomień w Liferay Portal 7.4.0–7.4.3.112 oraz Liferay DXP (2023.Q4.0–2023.Q4.8, 2023.Q3.1–2023.Q3.10, 7.4 GA–update 92). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy publikacji.

Komponent Commerce w Liferay Portal 7.3.0 do 7.4.3.112 oraz Liferay DXP w określonych wersjach zapisuje wirtualne produkty przesłane do Documents and Media z uprawnieniem widoku dla gości. Umożliwia to zdalnym atakującym dostęp i pobranie wirtualnych produktów za darmo poprzez spreparowany URL.

W Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2023.Q4.0 do 2023.Q4.7, 2023.Q3.1 do 2023.Q3.9 i 7.4 GA do update 92 występuje podatność CSRF na stronie rejestracji serwera (licencji). Zdalny atakujący może zarejestrować licencję serwera poprzez parametr 'orderUuid'.

Podatność typu Insecure Direct Object Reference (IDOR) w widżecie Contacts Center w Liferay Portal 7.4.0 do 7.4.3.119 i starszych nieobsługiwanych wersjach oraz Liferay DXP 2023.Q4.0 do 2023.Q4.6, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach pozwala zdalnym atakującym na przeglądanie informacji kontaktowych, w tym nazwiska i adresu e-mail, za pomocą parametru _com_liferay_contacts_web_portlet_ContactsCenterPortlet_entryId.

Podatność w Liferay Portal i Liferay DXP polega na niekontrolowanym wejściu w warunku pętli w XML-RPC. Umożliwia to zdalnym atakującym przeprowadzenie ataku typu denial-of-service (DoS) poprzez spreparowane żądanie XML-RPC.

W Liferay Portal (wersje 7.1.0 do 7.4.3.111) oraz Liferay DXP (określone wersje) domyślnym typem członkostwa nowo utworzonej witryny jest "Open", co pozwala każdemu zarejestrowanemu użytkownikowi zostać członkiem. Zdalny atakujący z członkostwem może przeglądać, dodawać lub edytować treści w witrynie.

Liferay Portal 7.4.0 do 7.4.3.111 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2023.Q4.0, 2023.Q3.1–2023.Q3.4, 7.4 GA do update 92 i 7.3 GA do update 35 oraz starsze nieobsługiwane wersje nie ograniczają dostępu do API przed zmianą początkowego hasła przez użytkownika. Umożliwia to zdalnym użytkownikom dostęp i edycję treści poprzez API.

Podatność typu cross-site scripting (XSS) w obiektach Liferay Portal 7.4.3.20–7.4.3.111 oraz Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany payload w polu typu rich text obiektu.

Liferay Portal 7.4.0 do 7.4.3.105 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2023.Q4.0, 2023.Q3.1 do 2023.Q3.4, 7.4 GA do update 92, 7.3 GA do update 35 i starsze nieobsługiwane wersje mogą nieprawidłowo identyfikować subdomenę nazwy domeny i tworzyć supercookie. Umożliwia to zdalnym atakującym kontrolującym witrynę w tej samej domenie najwyższego poziomu odczyt plików cookie ustawionych przez aplikację.

Podatność typu stored cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala uwierzytelnionym zdalnym atakującym z rolą administratora instancji wstrzyknąć dowolny skrypt lub HTML do wszystkich stron poprzez spreparowany payload w polach CDN Host HTTP lub CDN Host HTTPS w konfiguracji instancji.

W Liferay Portal 7.4.3.73 do 7.4.3.128 oraz Liferay DXP w określonych wersjach występuje odbita podatność XSS. Atakujący zdalnie może wstrzyknąć dowolny skrypt lub kod HTML poprzez ścieżkę /c/portal/comment/discussion/get_editor.

Podatność na trwały cross-site scripting (XSS) w Liferay Portal 7.4.3.45 do 7.4.3.128 oraz Liferay DXP 2024 Q2.0 do 2024.Q2.9, 2024.Q1.1 do 2024.Q1.12 i 7.4 update 45 do update 92. Zdalni atakujący mogą wykonać dowolny skrypt lub HTML na stronie My Workflow Tasks.

W Liferay Portal w wersjach od 7.4.0 do 7.4.3.128 oraz Liferay DXP w wersjach 2024.Q3.0 do 2024.Q3.1, 2024.Q2.0 do 2024.Q2.13, 2024.Q1.1 do 2024.Q1.12, 2023.Q4.0 i 7.4 GA do update 92 możliwe jest wyliczanie istniejących wartości ERC poprzez analizę czasu odpowiedzi aplikacji.

Podatność typu reflected cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez URL w portlecie paska wyszukiwania.

Podatność typu stored cross-site scripting w Liferay Portal i Liferay DXP pozwala zdalnemu uwierzytelnionemu atakującemu wstrzyknąć JavaScript poprzez nazwę fieldsetu w Kaleo Forms Admin; złośliwy payload jest przechowywany i wykonywany bez odpowiedniej sanityzacji lub escapowania.

Kaleo Forms Admin w Liferay Portal i Liferay DXP nie ogranicza zapisywania parametrów żądania w sesji portletu. Zdalny atakujący może wysyłać spreparowane żądania HTTP, aby wyczerpać pamięć systemową i doprowadzić do odmowy usługi (DoS).

W Liferay Portal i Liferay DXP moduł Objects nie ogranicza używania skryptów Groovy w akcjach obiektów dla administratorów. Umożliwia to zdalnym uwierzytelnionym administratorom z rolą Instance Administrator wykonanie dowolnych skryptów Groovy (zdalne wykonanie kodu) poprzez akcje obiektów.

W Liferay Portal i DXP funkcja testowania użytkowników LDAP ujawnia poświadczenia LDAP w adresie URL strony podczas przeglądania listy użytkowników. Atakujący typu man-in-the-middle lub mający dostęp do logów żądań mogą przechwycić te dane.