CVE-2024-25145
Təsvir
Liferay Portal 7.2.0-dan 7.4.3.11-dək olan versiyalarda və daha köhnə dəstəklənməyən versiyalarda, həmçinin Liferay DXP-nin update 8-dən əvvəlki 7.4, update 4-dən əvvəlki 7.3, fix pack 17-dən əvvəlki 7.2 versiyalarında və daha köhnə dəstəklənməyən versiyalarda Portal Search modulunun Search Result tətbiqində saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Bu boşluq uzaqdan autentifikasiya olunmuş istifadəçilərə, tətbiqə hər hansı axtarış edilə bilən məzmun (məsələn, bloq, mesaj lövhəsi mesajı, veb məzmun məqaləsi) əlavə etməklə və vurğulama (highlighting) funksiyası söndürüldükdə, Search Result tətbiqinin axtarış nəticələrinə ixtiyari veb skripti və ya HTML kodu yerləşdirməyə imkan verir.
Necə düzəltmək olar
- liferay liferay_portal7.4.3.12 və ya daha yeni versiya
- liferay digital_experience_platform7.2 və ya daha yeni versiya
- com.liferay.portal:release.portal.bom7.4.3.12 və ya daha yeni versiya
- com.liferay.portal:release.dxp.bom7.4.3.13u8, 7.3.10.u4, 7.2.10.fp17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| liferay liferay_portal | v ≤ 7.2.1, 7.3.0 ≤ v ≤ 7.3.7, 7.4.0 ≤ v < 7.4.3.12 | 7.4.3.12 |
| liferay digital_experience_platform | v < 7.2, 7.2 | 7.2 |
| liferay dxp | 7.3, 7.4 | — |
| com.liferay.portal:release.portal.bomMaven | v < 7.4.3.12 | 7.4.3.12 |
| com.liferay.portal:release.dxp.bomMaven | 7.4.0 ≤ v < 7.4.3.13u8, 7.3.0 ≤ v < 7.3.10.u4, v < 7.2.10.fp17 | 7.4.3.13u8, 7.3.10.u4, 7.2.10.fp17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.