CVE-2025-3586
Təsvir
Liferay Portal 7.4.3.27-dən 7.4.3.42-yə qədər olan versiyalarda və Liferay DXP 2024.Q1.1-dən 2024.Q1.20-yə, 2023.Q4.0-dan 2023.Q4.10-a, 2023.Q3.1-dən 2023.Q3.10-a, həmçinin 7.4 update 27-dən update 42-yə qədər olan versiyalarda (Liferay PaaS və Liferay Self-Hosted), Objects modulu Admin İstifadəçiləri üçün Object action-larında Groovy skriptlərinin istifadəsini məhdudlaşdırmır. Bu, Instance Administrator roluna malik uzaqdan autentifikasiya olunmuş admin istifadəçilərinə Object action-ları vasitəsilə ixtiyari Groovy skriptlərini icra etməyə (yəni, uzaqdan kodun icrasına) imkan verir. Bunun əksinə olaraq, Liferay DXP (Liferay SaaS)-də yaratdığı yüksək təhlükəsizlik riskləri səbəbindən Object action-larında Groovy istifadəsinə icazə verilmir. Liferay DXP 2024.Q2 və daha yeni versiyalardan başlayaraq, Instance Settings bölməsində administratorlara öz instansiyalarında Groovy skriptlərinə icazə verilib-verilməyəcəyini konfiqurasiya etməyə imkan verən yeni funksiya tətbiq edilmişdir.
Necə düzəltmək olar
- liferay liferay_portal7.4.3.43 və ya daha yeni versiya
- com.liferay:com.liferay.object.service1.0.96 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| liferay liferay_portal | 7.4.3.27 ≤ v < 7.4.3.43 | 7.4.3.43 |
| liferay digital_experience_platform | 2023.Q3.1 ≤ v ≤ 2023.Q3.10, 2023.q4.0 ≤ v ≤ 2023.q4.10, 2024.Q1.1 ≤ v ≤ 2024.Q1.20, 7.4 | — |
| com.liferay:com.liferay.object.serviceMaven | v < 1.0.96 | 1.0.96 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.