CVE-2025-62267

Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.

Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.

Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.

Luka typu Reflected Cross-Site Scripting (XSS) w Languauge Override w Liferay Portal 7.4.3.8 do 7.4.3.111 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10 i 7.4 update 4 do update 92 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez parametr `_com_liferay_portal_language_override_web_internal_portlet_PLOPortlet_selectedLanguageId`.

Podatność cross-site scripting (XSS) w widżecie Blogs w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.8, 7.4 GA do update 92, 7.3 GA do update 36 i starszych nieobsługiwanych wersjach pozwala zdalnym atakującym wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany element <iframe> wstrzyknięty do pola tekstowego "Content" wpisu blogowego. Widżet Blogs w Liferay DXP nie dodaje atrybutu sandbox do elementów <iframe>, co pozwala zdalnym atakującym na dostęp do strony nadrzędnej poprzez skrypty i linki w ramce.

Domyślnie Liferay Portal 7.4.0 do 7.4.3.119 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze nieobsługiwane wersje są podatne na ataki DNS rebinding, co pozwala zdalnym atakującym przekierowywać użytkowników na dowolne zewnętrzne adresy URL. Podatność można złagodzić zmieniając zabezpieczenie adresu URL przekierowania z IP na domenę.

Podatność na enumerację haseł w Liferay Portal 7.4.0 do 7.4.3.119 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach. Umożliwia zdalnym atakującym ustalenie hasła użytkownika za pomocą ataku brute force, nawet gdy włączona jest blokada konta.

W Liferay Portal i Liferay DXP występuje podatność CSRF w Headless API. Zdalny atakujący może wykonać dowolne wywołanie Headless API poprzez parametr `endpoint`.

Liferay Portal i Liferay DXP nie ograniczają liczby obiektów zwracanych w odpowiedziach Headless API. Umożliwia to zdalnym atakującym przeprowadzenie ataku typu denial-of-service (DoS) poprzez żądanie zwracające dużą liczbę obiektów.