远程主机上安装的 Liferay Portal 版本为 7.4.3.4 之前的版本。因此，如公告所述，会受到多个漏洞的影响。

  - Liferay Portal 7.2.0 至 7.4.2、不受支持的较旧版本、service pack 3 之前的 Liferay DXP 7.3、fix pack 15 之前的 7.2 以及不受支持的较旧版本中的 Calendar 模块不会转义默认通知电子邮件模板中用户提供的数据模板，经身份验证的远程用户可利用此问题，通过日历事件的标题或用户名称注入任意 Web 脚本或 HTML。这可能会导致内容伪造或跨站脚本 (XSS) 攻击，具体取决于收件人邮件客户端的功能。(CVE-2024-25151)

  - Liferay Portal 7.2.0 至 7.4.2、不受支持的较旧版本、service pack 3 之前的 Liferay DXP 7.3、fix pack 17 之前的 7.2 以及不受支持的较旧版本的 Message Board 小组件中存在存储型跨站脚本 (XSS) 漏洞，经身份验证的远程用户可利用此漏洞，通过附件的文件名注入任意 Web 脚本或 HTML。(CVE-2024-25152)

  - Liferay Portal 7.2.0 至 7.4.2、不受支持的较旧版本、service pack 3 之前的 Liferay DXP 7.3、fix pack 17 之前的 7.2 以及不受支持的较旧版本 Expando 模块的地理位置自定义字段中存在存储型跨站脚本 (XSS) 漏洞，经身份验证的远程用户可利用此漏洞，通过注入地理位置自定义字段名称文本字段的特制负载，注入任意 Web 脚本或 HTML。
    (CVE-2024-25601)

  - Liferay Portal 7.2.0 至 7.4.2、不受支持的较旧版本、service pack 3 之前的 Liferay DXP 7.3、fix pack 17 之前的 7.2 以及不受支持的较旧版本的用户管理模块之编辑用户页面中存在存储型跨站脚本 (XSS) 漏洞，经身份验证的远程用户可利用此漏洞，通过注入组织名称文本字段的特制负载，注入任意 Web 脚本或 HTML (CVE-2024-25602)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Liferay Portal 7.4.x < 7.4.3.4 多个漏洞

critical Nessus 插件 ID 190930

版本 1.1

版本 1.0

版本 1.1 Jun 5, 2024, 10:55 AM Required Scan configuration ("Enable cgi scanning" set to "True") Plugin Feed: 202406051055
版本 1.0 Feb 23, 2024, 8:24 PM New Plugin Feed: 202402232024