The Script Console in Liferay Portal 7.0.0 through 7.4.3.101, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• liferay digital experience platform6.2 ve sonrası · 7.2 dahil
• liferay digital experience platform2023.q3.1 ve sonrası · 2023.q3.5 öncesi
• liferay digital experience platform7.3
• liferay digital experience platform7.4
• liferay liferay portal7.0.0 ve sonrası · 7.0.6 öncesi
• liferay liferay portal7.1.0 ve sonrası · 7.1.3 öncesi
• liferay liferay portal7.2.0 ve sonrası · 7.2.1 dahil
• liferay liferay portal7.3.0 ve sonrası · 7.3.7 dahil
• liferay liferay portal7.4.0 ve sonrası · 7.4.3.102 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (Liferay) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Liferay DXP

  • 6.2.0 ve sonrası · portal-173 dahil öncesietkilenir · maven
  • 7.0.10 ve sonrası · de-102 dahil öncesietkilenir · maven
  • 7.1.10 ve sonrası · dxp-28 dahil öncesietkilenir · maven
  • 7.2.10 ve sonrası · dxp-20 dahil öncesietkilenir · maven
  • 7.3.10 ve sonrası · 7.3.10-u35 dahil öncesietkilenir · maven
  • 7.4.13 ve sonrası · 7.4.13-u92 dahil öncesietkilenir · maven
  • 2023.Q3.1 ve sonrası · 2023.Q3.4 dahil öncesietkilenir · maven

• Liferay Portal

  • 7.0.0 ve sonrası · 7.4.3.101 dahil öncesietkilenir · maven

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2024-38002The workflow component in Liferay Portal 7.3.2 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.8,
  35İzleyin
• CVE-2024-26273Cross-site request forgery (CSRF) vulnerability in the content page editor in Liferay Portal 7.4.0 through 7.4.3.103, and Liferay DXP 2023.Q
  35İzleyin
• CVE-2024-26272Cross-site request forgery (CSRF) vulnerability in the content page editor in Liferay Portal 7.3.2 through 7.4.3.107, and Liferay DXP 2023.Q
  35İzleyin
• CVE-2024-26271Cross-site request forgery (CSRF) vulnerability in the My Account widget in Liferay Portal 7.4.3.75 through 7.4.3.111, and Liferay DXP 2023.
  35İzleyin
• CVE-2020-15841Liferay Portal before 7.3.0, and Liferay DXP 7.0 before fix pack 89, 7.1 before fix pack 17, and 7.2 before fix pack 4, does not safely test
  35İzleyin
• CVE-2025-3594Path traversal vulnerability with the downloading and installation of Xuggler in Liferay Portal 7.0.0 through 7.4.3.4, and Liferay DXP 7.4 G
  34İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Durum değiştiren istekler tarayıcının otomatik gönderdiği oturum çerezine dayanıyor; isteğin kullanıcının kendi sayfasından geldiği doğrulanmıyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.