CVE-2025-3586

Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.

Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.

Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.

Wiele luk typu cross-site scripting (XSS) w szablonie treści web w strukturze select page w Liferay Portal 7.4.3.35 do 7.4.3.111 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 update 35 do update 92 pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach tekstowych (1) First Name, (2) Middle Name lub (3) Last Name użytkownika.

Luka typu Reflected Cross-Site Scripting (XSS) w Languauge Override w Liferay Portal 7.4.3.8 do 7.4.3.111 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10 i 7.4 update 4 do update 92 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez parametr `_com_liferay_portal_language_override_web_internal_portlet_PLOPortlet_selectedLanguageId`.

Podatność cross-site scripting (XSS) w widżecie Blogs w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.8, 7.4 GA do update 92, 7.3 GA do update 36 i starszych nieobsługiwanych wersjach pozwala zdalnym atakującym wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany element <iframe> wstrzyknięty do pola tekstowego "Content" wpisu blogowego. Widżet Blogs w Liferay DXP nie dodaje atrybutu sandbox do elementów <iframe>, co pozwala zdalnym atakującym na dostęp do strony nadrzędnej poprzez skrypty i linki w ramce.

Domyślnie Liferay Portal 7.4.0 do 7.4.3.119 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze nieobsługiwane wersje są podatne na ataki DNS rebinding, co pozwala zdalnym atakującym przekierowywać użytkowników na dowolne zewnętrzne adresy URL. Podatność można złagodzić zmieniając zabezpieczenie adresu URL przekierowania z IP na domenę.

Podatność na enumerację haseł w Liferay Portal 7.4.0 do 7.4.3.119 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach. Umożliwia zdalnym atakującym ustalenie hasła użytkownika za pomocą ataku brute force, nawet gdy włączona jest blokada konta.

W Liferay Portal i Liferay DXP występuje podatność CSRF w Headless API. Zdalny atakujący może wykonać dowolne wywołanie Headless API poprzez parametr `endpoint`.