CVE-2024-26265

Versões do Liferay Portal 7.2.0 a 7.4.3.15

Liferay DXP 7.4 antes da atualização 16

Liferay DXP 7.3 antes da atualização 4

Liferay DXP 7.2 antes do pacote de correções 19

O módulo Image Uploader depende de um parâmetro de solicitação para limitar o tamanho dos arquivos que podem ser enviados, o que permite que usuários remotos autenticados enviem arquivos de tamanho arbitrário para a pasta temporária do sistema, modificando o parâmetro maxFileSize.

Para as versões do Liferay Portal 7.2.0 a 7.4.3.15, atualize para uma versão que inclua a correção para este problema.

Para o Liferay DXP 7.4 antes da atualização 16, aplique a atualização 16 para resolver o problema.

Para o Liferay DXP 7.3 antes da atualização 4, aplique a atualização 4 para resolver o problema.

Para o Liferay DXP 7.2 anterior ao fix pack 19, aplique o fix pack 19 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao módulo Image Uploader até que um patch esteja disponível.

Evite usar o parâmetro maxFileSize no módulo afetado até que o problema seja resolvido.