Script Console w Liferay Portal oraz Liferay DXP nie zapewnia wystarczającej ochrony przed atakami Cross-Site Request Forgery (CSRF), co pozwala zdalnemu atakującemu na wykonanie dowolnego skryptu Groovy. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia po stronie atakującego i może prowadzić do pełnego przejęcia kontroli nad systemem.
▸ Pokaż oryginał (EN)
The Script Console in Liferay Portal 7.0.0 through 7.4.3.101, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA through update 35, 7.2 GA through fix pack 20, 7.1 GA through fix pack 28, 7.0 GA through fix pack 102 and 6.2 GA through fix pack 173 does not sufficiently protect against Cross-Site Request Forgery (CSRF) attacks, which allows remote attackers to execute arbitrary Groovy script via a crafted URL or a XSS vulnerability.
Atakujący może nakłonić zalogowanego użytkownika (np. administratora) do odwiedzenia spreparowanego URL lub strony zawierającej złośliwy kod XSS, który w tle wysyła nieautoryzowane żądanie do Script Console. Ponieważ aplikacja nie weryfikuje poprawnie tokenu CSRF, żądanie zostaje przyjęte i wykonane w kontekście sesji ofiary. W efekcie dowolny skrypt Groovy zostaje uruchomiony po stronie serwera z uprawnieniami zalogowanego użytkownika.
Atakujący może wykonać dowolny kod po stronie serwera w środowisku Liferay, co potencjalnie prowadzi do pełnego przejęcia aplikacji, kradzieży danych, modyfikacji treści lub dalszego ruchu lateralnego w infrastrukturze.
Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2024-8980. Do czasu wdrożenia patcha należy ograniczyć dostęp do Script Console wyłącznie do zaufanych, uwierzytelnionych administratorów oraz rozważyć blokadę dostępu do tej funkcji na poziomie firewalla lub kontroli dostępu sieciowego.
Liferay Portal 7.0.0 – 7.4.3.101; Liferay DXP 2023.Q3.1 – 2023.Q3.4, 7.4 GA – update 92, 7.3 GA – update 35, 7.2 GA – fix pack 20, 7.1 GA – fix pack 28, 7.0 GA – fix pack 102, 6.2 GA – fix pack 173
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HLiferay Digital Experience Platform
APPLiferay7.37.42023.q3.1 – 2023.q3.5 (bez)6.2 – 7.2Liferay Portal
APPLiferay7.3.0 – 7.3.77.4.0 – 7.4.3.102 (bez)7.0.0 – 7.0.6 (bez)7.1.0 – 7.1.3 (bez)7.2.0 – 7.2.1
Powiązane podatności
Deserialization of Untrusted Data in Liferay Portal prior to 7.2.1 CE GA2 allows remote attackers to execute a...
RCE w komponencie workflow Liferay Portal i DXP — brak weryfikacji uprawnień
Reflected XSS w Liferay Portal i DXP na stronie przypisywania ról
Reflected XSS w ustawieniach kont Liferay Portal i DXP
Reflected XSS w ekranie Language Override w Liferay Portal i DXP