Podatności Liferay Portal / Liferay DXP

ComboServlet w Liferay Portal i Liferay DXP nie ogranicza liczby ani rozmiaru łączonych plików. Zdalny atakujący może poprzez ciąg zapytań URL wymusić tworzenie bardzo dużych odpowiedzi, prowadząc do ataku typu denial of service.

Liferay Portal w wersjach 7.4.0 do 7.4.3.101 oraz starszych niewspieranych, a także Liferay DXP 2023.Q3.1 do 2023.Q3.5, 7.4 GA do update 92 i starsze niewspierane, są podatne na self-XSS na stronie edycji artykułu bazy wiedzy. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w nazwie pliku załącznika.

W Liferay Portal i Liferay DXP występuje brak autoryzacji w komponencie Collection Provider. Użytkownicy instancji mogą odczytywać i wybierać nieautoryzowane Blueprints między instancjami.

W Liferay Portal i Liferay DXP wykryto podatność typu reflected XSS wynikającą z regresji. Uwierzytelniony zdalny atakujący może wstrzyknąć i wykonać kod JavaScript poprzez parametr _com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition, a złośliwy ładunek wykonuje się w przeglądarce ofiary po wejściu na spreparowany URL.

W Liferay Portal i Liferay DXP widget Menu Display Widget pokazuje treści użytkownikom bez uprawnień do ich wyświetlania. Może to skutkować ujawnieniem poufnych informacji nieuprawnionym użytkownikom.

W Liferay Portal i Liferay DXP występuje podatność IDOR umożliwiająca zdalnym uwierzytelnionym użytkownikom jednej instancji wirtualnej przypisanie organizacji użytkownikowi w innej instancji wirtualnej poprzez parametr _com_liferay_users_admin_web_portlet_UsersAdminPortlet_addUserIds.

W module Publications w Liferay Portal i Liferay DXP występuje podatność IDOR oraz niewłaściwa kontrola uprawnień. Zdalny uwierzytelniony atakujący może przeglądać komentarze publikacji poprzez parametr _com_liferay_change_tracking_web_portlet_PublicationsPortlet_value, a także edytować komentarze za pomocą spreparowanych URL-i.

W Liferay Portal i Liferay DXP występuje podatność typu IDOR (niezabezpieczone bezpośrednie odwołanie do obiektu) w module Publications. Uwierzytelniony zdalny atakujący może wyświetlić stronę edycji publikacji, manipulując parametrem _com_liferay_change_tracking_web_portlet_PublicationsPortlet_ctCollectionId.

Podatność Cross-Site Request Forgery (CSRF) w Liferay Portal 7.4.1 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym atakującym dodawać i edytować komentarze do publikacji.

Luka typu cross-site scripting (XSS) w kreatorze procesów workflow w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowane dane wejściowe w definicji workflow.

Wiele podatności typu cross-site scripting (XSS) w widżecie Notifications w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polach tekstowych imienia, drugiego imienia, nazwiska, „Inny powód” przy oznaczaniu treści oraz nazwy oznaczonej treści.

W module Forms w Liferay Portal i Liferay DXP występuje podatność typu stored XSS. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek umieszczony w formularzu z polem typu rich text.

Widget Profile w Liferay Portal i Liferay DXP używa nazwy użytkownika w nagłówku „Content-Disposition”, co pozwala zdalnym uwierzytelnionym użytkownikom zmienić rozszerzenie pliku podczas pobierania pliku vCard.

Wiele podatności typu reflected cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez parametr `redirect` w modułach Announcements i Alerts.

Podatność typu cross-site scripting (XSS) w szablonie treści webowej w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polu tekstowym Name struktury treści webowej.

Wiele podatności typu cross-site scripting (XSS) w widżecie Calendar podczas zapraszania użytkowników do wydarzenia w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska użytkownika.

W Liferay Portal i Liferay DXP występuje podatność typu reflected XSS na stronie konfiguracji strony. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez parametr com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURLTitle.

W Liferay Portal 7.4.0–7.4.3.112 oraz Liferay DXP (wskazane wersje) zdarzenia audytu zapisują odpowiedź na pytanie przypominające hasło użytkownika. Zdalny uwierzytelniony użytkownik może uzyskać tę odpowiedź poprzez zdarzenia audytu.

Luka typu cross-site scripting (XSS) w widgecie Search w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr _com_liferay_portal_search_web_portlet_SearchPortlet_userId.

Liferay Portal 7.3.0 do 7.4.3.111 oraz Liferay DXP (2023.Q4.0, 2023.Q3.1–2023.Q3.4, 7.4 GA do update 92, 7.3 GA do update 35) nie wykonuje kontroli autoryzacji podczas próby wyświetlenia szablonu strony wyświetlania. Zdalni atakujący mogą wyświetlać szablony stron za pomocą spreparowanych adresów URL.

W Liferay Portal i Liferay DXP występuje podatność przechowywanego XSS w punkcie końcowym API /o/c/<object-name> obiektu niestandardowego. Zdalni atakujący mogą wstrzykiwać dowolne skrypty internetowe lub HTML poprzez parametr externalReferenceCode.

W Liferay Portal i Liferay DXP występują liczne podatności typu cross-site scripting (XSS) w polach typu "Rich Text" w strukturach treści webowych, dokumentach i mediach oraz niestandardowych zasobach. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany payload.

Liferay Portal i Liferay DXP nie pobierają prawidłowo zdalnego adresu witryny live z bazy danych, co pozwala zdalnym uwierzytelnionym użytkownikom na eksfiltrację danych do serwera kontrolowanego przez atakującego (fałszywej „witryny live”) poprzez parametry _com_liferay_exportimport_web_portlet_ExportImportPortlet_remoteAddress i _com_liferay_exportimport_web_portlet_ExportImportPortlet_remotePort. Aby wykorzystać podatność, atakujący musi również uzyskać wspólny sekret serwera staging i dodać kontrolowany serwer do białej listy.

Liferay Portal i Liferay DXP nie ograniczają liczby obiektów zwracanych przez zapytania GraphQL. Zdalny atakujący może wykonywać zapytania zwracające dużą liczbę obiektów, powodując atak typu denial-of-service (DoS).

W Liferay Portal i Liferay DXP występuje podatność typu open redirect w ustawieniach systemu, instancji i witryny. Atakujący może przekierować użytkownika na dowolny zewnętrzny adres URL poprzez odpowiednie parametry przekierowania.

W Liferay Portal i Liferay DXP występuje podatność typu stored cross-site scripting (XSS) w nazwach witryn organizacji. Zdalny uwierzytelniony atakujący może wstrzyknąć JavaScript, który jest przechowywany i wykonywany bez odpowiedniej sanityzacji.

W Liferay Portal i Liferay DXP usługi JSON Web Services publikowane w OSGi są rejestrowane i wywoływane bezpośrednio jako klasy, co pozwala na wykonanie polityk dostępu do usług (Service Access Policies).

Selektor organizacji w Liferay Portal i Liferay DXP nie sprawdza uprawnień użytkownika. Zdalni uwierzytelnieni użytkownicy mogą uzyskać listę wszystkich organizacji.

W Liferay Portal 7.4.0–7.4.3.124 oraz Liferay DXP (2024.Q2.0–2024.Q2.7, 2024.Q1.1–2024.Q1.12, 7.4 GA–update 92) występuje podatność IDOR. Zdalny uwierzytelniony użytkownik może uzyskać dostęp do definicji workflow po nazwie poprzez API.

W Liferay Portal 7.4.0 do 7.4.3.124 oraz Liferay DXP (wersje 2024.Q2.0-2024.Q2.8, 2024.Q1.1-2024.Q1.12, 7.4 GA do update 92) występuje nieprawidłowa kontrola dostępu. Goście mogą uzyskać informacje o wpisach obiektów poprzez API Builder.

W Liferay Portal i Liferay DXP występuje podatność typu stored cross-site scripting (XSS) w polu tytułu zdalnej aplikacji. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML.

W Liferay Portal i Liferay DXP występuje podatność typu stored cross-site scripting (XSS) w etykiecie pola Custom Object. Zdalny uwierzytelniony atakujący może wstrzyknąć JavaScript, który jest przechowywany i wykonywany w zakładce Configuration Process Buildera bez odpowiedniego escapowania.

Liferay Portal i Liferay DXP ujawniają w treści odpowiedzi komunikat "Internal Server Error", gdy próba logowania zostanie wykonana z usuniętym Client Secret. Może to ujawnić informacje o wewnętrznym działaniu aplikacji.

Moduł Object w Liferay Portal w wersjach 7.4.3.4 do 7.4.3.48 oraz Liferay DXP 7.4 przed aktualizacją 49 nie izoluje poprawnie obiektów w różnych instancjach wirtualnych. Umożliwia to zdalnym uwierzytelnionym użytkownikom w jednej instancji wirtualnej przeglądanie obiektów w innej instancji wirtualnej za pośrednictwem strony administracyjnej zakresu OAuth 2.

Podatność XSS w widżecie Modified Facet w Liferay Portal od wersji 7.1.0 do 7.4.3.12 oraz Liferay DXP 7.1 przed poprawką 27, 7.2 przed poprawką 18, 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 9 umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w etykiecie facetu.