Podatności Liferay Portal

Liferay Portal w wersjach do 6.2.10 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń powłoki za pomocą spreparowanego szablonu Velocity.

Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.

Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.

W Liferay Portal i DXP funkcja testowania użytkowników LDAP ujawnia poświadczenia LDAP w adresie URL strony podczas przeglądania listy użytkowników. Atakujący typu man-in-the-middle lub mający dostęp do logów żądań mogą przechwycić te dane.

W produktach Liferay wykryto brak walidacji certyfikatów SSL w modułach REST dostawców danych Dynamic Data Mapping. Podatność dotyczy Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 17 i 7.3 przed service pack 3.

Moduł Dynamic Data Mapping w Liferay Portal 7.1.0 do 7.4.3.4 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 19, 7.3 przed update 4 i 7.4 GA nieprawidłowo sprawdza uprawnienia do wpisów formularzy, co pozwala zdalnym uwierzytelnionym użytkownikom na przeglądanie i dostęp do wszystkich wpisów formularzy.

Podatność IDOR w module Dynamic Data Mapping w Liferay Portal 7.3.2 do 7.4.3.4 oraz Liferay DXP 7.3 przed updatem 4 i 7.4 GA umożliwia zdalnie uwierzytelnionym użytkownikom podgląd i dostęp do wpisów formularzy poprzez parametr `formInstanceRecordId`.

Moduł Hypermedia REST APIs w Liferay Portal 7.4.1 do 7.4.3.4 oraz Liferay DXP 7.4 GA nieprawidłowo sprawdza uprawnienia, co umożliwia zdalnym atakującym uzyskanie obiektu WikiNode przez API WikiNodeResource.getSiteWikiNodeByExternalReferenceCode.

Moduł Friendly Url w Liferay Portal 7.4.3.5 do 7.4.3.36 oraz Liferay DXP 7.4 update 1 do 36 nieprawidłowo sprawdza uprawnienia użytkownika, co pozwala zdalnym atakującym na uzyskanie historii wszystkich przyjaznych URL-i przypisanych do strony.

Moduł Asset Libraries w Liferay Portal 7.3.5 do 7.4.3.28 oraz Liferay DXP 7.3 przed aktualizacją 8 i DXP 7.4 przed aktualizacją 29 nieprawidłowo sprawdza uprawnienia bibliotek zasobów, co umożliwia zdalnie uwierzytelnionym użytkownikom przeglądanie tych bibliotek przez interfejs użytkownika.

Podatność typu Zip slip w metodzie FileUtil.unzip w Liferay Portal 7.4.3.5 do 7.4.3.35 oraz Liferay DXP 7.4 update 1 do update 34 umożliwia atakującym tworzenie lub nadpisywanie istniejących plików w systemie plików poprzez wdrożenie złośliwego pluginu lub modułu.

Podatność ReDoS w procesie LayoutPageTemplateEntryUpgradeProcess w Liferay Portal 7.3.2 do 7.4.3.4 oraz Liferay DXP 7.2 fix pack 9 do 18, 7.3 przed update 4 i DXP 7.4 GA umożliwia zdalnemu atakującemu nadmierne zużycie zasobów serwera poprzez spreparowany ładunek wstrzyknięty w pole 'name' prototypu układu.

Podatność typu Zip slip w Elasticsearch Connector w Liferay Portal 7.3.3 do 7.4.3.18 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 19 umożliwia atakującym tworzenie lub nadpisywanie istniejących plików w systemie plików poprzez instalację złośliwego wtyczki Elasticsearch Sidecar.

Podatność SQL injection w module Layout w Liferay Portal 7.1.3 do 7.4.3.4 oraz Liferay DXP 7.1 do fix pack 26, 7.2 do fix pack 16, 7.3 do service pack 2 i 7.4 GA umożliwia zdalnym, uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole 'Nazwa' szablonu strony.

Podatność na skryptowanie między witrynami (XSS) w module Portal Search w Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 15 i 7.3 przed service pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr `tag`.

Podatność na skryptowanie między witrynami (XSS) w module Frontend Taglib w Liferay Portal 7.3.2 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 17 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML.

Podatność na skryptowanie między witrynami (XSS) w module Frontend Editor integrującym się z CKEditor w Liferay Portal 7.3.2 do 7.4.3.14 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 15. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametry name lub namespace.

Podatność na skryptowanie między witrynami (XSS) w module Object w Liferay Portal 7.4.3.4 do 7.4.3.36. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez pole tekstowe `Label` w edytorze szczegółów obiektu.

Podatność na atak XSS w module ról Liferay Portal i DXP umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML na stronie edycji przypisanych ról.

Podatność na skryptowanie między witrynami (XSS) w module Biblioteka dokumentów w Liferay Portal 7.4.3.30 do 7.4.3.36 oraz Liferay DXP 7.4 update 30 do 36. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr `redirect`.

Podatność na skryptowanie między witrynami (XSS) w widżecie Sortowania modułu Portal Search w Liferay Portal 7.2.0 do 7.4.3.24 oraz Liferay DXP 7.2 przed fix pack 19, 7.3 przed update 5 i DXP 7.4 przed update 25. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML za pomocą spreparowanego ładunku.

W module tłumaczeń Liferay Portal w wersjach 7.4.3.12 do 7.4.3.36 oraz Liferay DXP 7.4 update 8 do 36 brakuje sprawdzania uprawnień przed umożliwieniem użytkownikowi eksportu treści strony do tłumaczenia. Umożliwia to atakującym pobranie pliku XLIFF z tłumaczeniem strony poprzez spreparowany URL.

Podatność typu Path Traversal w module Hypermedia REST APIs w Liferay Portal 7.4.0 do 7.4.2 umożliwia zdalnym atakującym dostęp do plików poza katalogiem com.liferay.headless.discovery.web/META-INF/resources poprzez parametr `parameter`.

W Liferay Portal w wersji 7.4.3.4 oraz Liferay DXP w wersji 7.4 GA wykryto wiele podatności na ataki typu cross-site scripting (XSS). Umożliwiają one atakującym wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez parametry z prefiksem "filter_".

Funkcja HtmlUtil.escapeRedirect w Liferay Portal 7.3.1 do 7.4.2 oraz Liferay DXP 7.0-7.3 może zostać ominięta przez użycie wielu ukośników, co umożliwia atakującym przekierowanie użytkowników do dowolnych zewnętrznych adresów URL za pomocą parametrów takich jak 'redirect' czy 'FORWARD_URL'.

Moduł Layout w Liferay Portal v7.3.3 do v7.4.3.34 oraz Liferay DXP 7.3 przed aktualizacją 10 i 7.4 przed aktualizacją 35 nie sprawdza uprawnień użytkownika przed wyświetleniem podglądu strony typu "Content Page", co pozwala atakującym na przeglądanie nieopublikowanych stron poprzez manipulację URL.

W Liferay Portal w wersjach od 7.3.3 do 7.4.2 oraz w Liferay DXP w wersji 7.3 przed dodatkiem Service Pack 3 wykryto podatność na ataki XSS. Atakujący może wstrzyknąć złośliwy kod HTML lub JavaScript poprzez nazwę tagu.

Liferay Portal w wersjach od 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 zawiera podatność na cross-site scripting (XSS) w widżecie Custom Facet modułu Portal Search. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez pole tekstowe Custom Parameter Name.

W Liferay Portal 7.0.1 do 7.4.1 oraz Liferay DXP 7.0 przed fix pack 102, 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 wykryto podatność na trwały XSS w panelu administracji członkostwem użytkowników modułu Site. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę użytkownika.

Podatność na atak typu Cross-site scripting (XSS) w module Layout w Liferay Portal 7.3.0 do 7.4.0 oraz Liferay DXP 7.3 przed service pack 3. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez nazwę strony.

Podatność na skrypty między witrynami (XSS) w module Journal w Liferay Portal 7.1.0–7.3.3 oraz Liferay DXP 7.0 przed fix pack 94, 7.1 przed fix pack 19 i 7.2 przed fix pack 8. Atakujący zdalnie może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwy szablonów treści internetowych.

Liferay Portal 7.3.7, 7.4.0 i 7.4.1 oraz Liferay DXP 7.2 fix pack 13 i 7.3 fix pack 2 nieprawidłowo sprawdzają uprawnienia użytkownika podczas dostępu do listy witryn/grup. Umożliwia to zdalnym uwierzytelnionym użytkownikom podgląd witryn/grup za pomocą interfejsu przypisywania członkostwa w witrynie.

Podatność na atak XSS w selektorze kategorii zasobów modułu Asset w Liferay Portal 7.3.3 do 7.4.0 oraz Liferay DXP 7.3 przed Service Pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę kategorii zasobu.

W Liferay Portal 7.3.5 do 7.4.0 oraz Liferay DXP 7.3 przed service pack 3 znaleziono podatności na ataki XSS. Atakujący może wstrzyknąć dowolny skrypt lub HTML przez pole pomocy formularza w module Forms lub App Builder.

Moduł Remote App w Liferay Portal i Liferay DXP nie weryfikuje pochodzenia wiadomości zdarzeń, co umożliwia atakującym kradzież tokena CSRF poprzez spreparowaną wiadomość.

Podatność na atak XSS w module Gogo Shell w Liferay Portal 7.1.0-7.3.6 i 7.4.0 oraz Liferay DXP 7.1-7.3 przed odpowiednimi poprawkami. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez wynik polecenia Gogo Shell.

Podatność na atak XSS w module Blogów portalu Liferay Portal 7.3.2–7.3.6 oraz Liferay DXP 7.3 przed fix pack 2. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametry tytułu i podtytułu na stronie edycji wpisu bloga.

Podatność na atak typu Cross-site scripting (XSS) w module Asset w Liferay Portal 7.3.4 do 7.3.6 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML podczas tworzenia strony kolekcji za pomocą parametru _com_liferay_asset_list_web_portlet_AssetListPortlet_title.

Podatność na skrypty między witrynami (XSS) w module Frontend Taglib w Liferay Portal 7.4.0 i 7.4.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML do paska wyszukiwania w panelu zarządzania poprzez parametr `keywords`. Problem wynika z niekompletnej poprawki dla CVE-2021-35463.

Podatność na atak typu Cross-site scripting (XSS) w konsoli skryptów modułu serwera Liferay Portal 7.3.2 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 101, 7.1 przed fix pack 20 i 7.2 przed fix pack 10. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez wynik działania skryptu.

Moduł bezpieczeństwa portalu w Liferay Portal 7.2.1 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 90, 7.1 przed fix pack 17 i 7.2 przed fix pack 5 nieprawidłowo importuje użytkowników z LDAP. Umożliwia to zdalnemu atakującemu zablokowanie uwierzytelniania legalnego użytkownika poprzez próbę zalogowania się jako użytkownik istniejący w LDAP.

Moduł Dynamic Data Mapping w Liferay Portal 7.0.0 do 7.3.6 oraz Liferay DXP 7.0 do fix pack 101, 7.1 do fix pack 21, 7.2 do fix pack 10 i 7.3 do fix pack 2 nieprawidłowo ustawia domyślne uprawnienia dla członków witryny. Pozwala to zdalnie uwierzytelnionym użytkownikom z rolą członka witryny na dodawanie i duplikowanie formularzy przez interfejs użytkownika lub API.

Moduł Data Engine w Liferay Portal 7.3.0 do 7.3.5 oraz Liferay DXP 7.3 przed fix pack 1 nie sprawdza uprawnień w metodzie DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, co pozwala zdalnie uwierzytelnionym użytkownikom na przeglądanie struktur DDM poprzez wywołania API GET.

Podatność na atak XSS w aplikacji Asset Publisher modułu Asset w Liferay Portal 7.2.1 do 7.3.5 oraz Liferay DXP 7.1 przed fix pack 21, 7.2 przed fix pack 10 i 7.3 przed fix pack 1. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr assetEntryId.

Podatność na atak typu Cross-site scripting (XSS) w module Layout w Liferay Portal 7.3.4, 7.3.5 oraz Liferay DXP 7.2 przed fix pack 11 i 7.3 przed fix pack 1. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr _com_liferay_layout_admin_web_portlet_GroupPagesPortlet_name na stronie administracyjnej układu.

W Liferay Portal 7.3.5 i Liferay DXP 7.3 przed pakietem naprawczym 1 wykryto wiele podatności na wstrzykiwanie SQL. Umożliwiają one zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnych poleceń SQL poprzez parametr classPKField w metodach CommerceChannelRelFinder.countByC_C i CommerceChannelRelFinder.findByC_C.

Podatność na skrypty między witrynami (XSS) w polu wyboru kategorii modułu Asset w Liferay Portal 7.3.5 i Liferay DXP 7.3 przed fix pack 1. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title.

Podatność na skryptowanie między witrynami (XSS) w module przekierowań Liferay Portal 7.3.2–7.3.5 oraz Liferay DXP 7.3 przed fix pack 1. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr destinationURL w panelu administracyjnym przekierowań.

Podatność na atak XSS w module Site w Liferay Portal 7.0.0-7.3.5 oraz Liferay DXP 7.0-7.3 pozwala zdalnemu atakującemu na wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr comments w żądaniach członkostwa.

Moduł Portal Store w Liferay Portal 7.0.0 do 7.3.5 oraz Liferay DXP 7.0 do 7.3 nie zaciemnia hasła proxy magazynu S3, co umożliwia atakującym kradzież tego hasła poprzez ataki man-in-the-middle lub podglądanie ekranu.