CVE-2024-25151
Açıklama
Liferay Portal 7.2.0 ile 7.4.2 arasındaki sürümlerde ve desteklenmeyen daha eski sürümlerde, ayrıca Liferay DXP 7.3'te service pack 3 öncesinde, 7.2'de fix pack 15 öncesinde ve desteklenmeyen daha eski sürümlerde bulunan Calendar modülü, varsayılan bildirim e-posta şablonunda kullanıcı tarafından sağlanan verileri kaçış dizisiyle işlemez; bu da uzaktan kimliği doğrulanmış kullanıcıların bir takvim etkinliğinin başlığı veya kullanıcının adı aracılığıyla rastgele web betiği veya HTML enjekte etmesine olanak tanır. Bu durum, alıcının posta istemcisinin yeteneklerine bağlı olarak içerik sahtekârlığına veya siteler arası betik çalıştırma (XSS) saldırılarına yol açabilir.
Nasıl düzeltilir
- liferay liferay_portal7.4.3.4 ya da sonraki bir sürüm
- liferay digital_experience_platform7.2 ya da sonraki bir sürüm
- com.liferay.portal:release.portal.bom7.4.3.4 ya da sonraki bir sürüm
- com.liferay.portal:release.dxp.bom7.3.10.u4, 7.2.10.fp15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| liferay liferay_portal | 7.2.0 ≤ v < 7.4.3.4 | 7.4.3.4 |
| liferay digital_experience_platform | v < 7.2, 7.2, 7.3 | 7.2 |
| com.liferay.portal:release.portal.bomMaven | v < 7.4.3.4 | 7.4.3.4 |
| com.liferay.portal:release.dxp.bomMaven | 7.3.0 ≤ v < 7.3.10.u4, 7.2.0 ≤ v < 7.2.10.fp15 | 7.3.10.u4, 7.2.10.fp15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.