CVE-2025-3586
Açıklama
Liferay Portal 7.4.3.27 ile 7.4.3.42 arası ve Liferay DXP 2024.Q1.1 ile 2024.Q1.20 arası, 2023.Q4.0 ile 2023.Q4.10 arası, 2023.Q3.1 ile 2023.Q3.10 arası, 7.4 update 27 ile update 42 arası (Liferay PaaS ve Liferay Self-Hosted) sürümlerde, Objects modülü Yönetici Kullanıcılar için Object eylemlerinde Groovy scriptlerinin kullanımını kısıtlamamaktadır. Bu durum, Instance Administrator rolüne sahip uzaktan kimliği doğrulanmış yönetici kullanıcıların, Object eylemleri aracılığıyla rastgele Groovy scriptleri çalıştırmasına (yani uzaktan kod çalıştırmaya) olanak tanır. Buna karşılık, Liferay DXP (Liferay SaaS) sürümünde, oluşturduğu yüksek güvenlik riskleri nedeniyle Object eylemlerinde Groovy kullanımıyla izin verilmemektedir. Liferay DXP 2024.Q2 ve sonraki sürümlerden itibaren, yöneticilerin kendi instance'larında Groovy scriptlerine izin verilip verilmeyeceğini yapılandırmalarına olanak tanıyan yeni bir özellik Instance Settings kısmına eklenmiştir.
Nasıl düzeltilir
- liferay liferay_portal7.4.3.43 ya da sonraki bir sürüm
- com.liferay:com.liferay.object.service1.0.96 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| liferay liferay_portal | 7.4.3.27 ≤ v < 7.4.3.43 | 7.4.3.43 |
| liferay digital_experience_platform | 2023.Q3.1 ≤ v ≤ 2023.Q3.10, 2023.q4.0 ≤ v ≤ 2023.q4.10, 2024.Q1.1 ≤ v ≤ 2024.Q1.20, 7.4 | — |
| com.liferay:com.liferay.object.serviceMaven | v < 1.0.96 | 1.0.96 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.