CVE-2024-25603

Versões do Liferay Portal 7.2.0 a 7.4.3.4

Versões do Liferay DXP 7.4.13, 7.3 antes da atualização 4, 7.2 antes do pacote de correções 17

Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no DDMForm do módulo Dynamic Data Mapping, permitindo que usuários remotos autenticados injetem scripts web ou HTML arbitrários por meio do parâmetro instanceId. Isso permite que invasores executem código malicioso no navegador da vítima.

Para as versões 7.2.0 a 7.4.3.4 do Liferay Portal, atualize para uma versão que inclua a correção para esta vulnerabilidade.

Para as versões 7.4.13, 7.3 antes da atualização 4 e 7.2 antes do fix pack 17 do Liferay DXP, aplique as respectivas atualizações ou fix packs para resolver a vulnerabilidade.

Como solução alternativa temporária, considere restringir o acesso ao DDMForm do módulo Dynamic Data Mapping para minimizar o risco de exploração.

Evite usar o parâmetro instanceId no módulo afetado até que o problema seja resolvido.