There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Cross-site request forgery (CSRF) vulnerability in the content page editor in Liferay Portal 7.4.0 through
    7.4.3.103, and Liferay DXP 2023.Q4.0 through 2023.Q4.2, 2023.Q3.1 through 2023.Q3.5, 7.4 GA through update
    92 and 7.3 update 29 through update 35 allows remote attackers to (1) change user passwords, (2) shut down
    the server, (3) execute arbitrary code in the scripting console, (4) and perform other administrative
    actions via the _com_liferay_commerce_catalog_web_internal_portlet_CommerceCatalogsPortlet_redirect
    parameter. (CVE-2024-26273)

Liferay Portal 7.0.0 至 7.4.3.101 的中的指令碼主控台，以及 2023.Q3.1 至 2023.Q3.4 的  Liferay DXP、7.4 GA，Liferay Portal 7.4.0 至 7.4.3.103 以及 Liferay DXP 2023.Q4.0 至 2023.Q4.2、2023.Q3.1 至 2023.Q3.5、7.4 GA 至 update 92 以及 7.3 update 29 至 update 35 的內容頁面編輯器中的跨網站要求偽造 (CSRF) 弱點，允許遠端攻擊者 (1) 變更使用者密碼、(2) 關閉伺服器、(3) 在指令碼主控台執行任意程式碼，(4) 並且透過 
_com_liferay_commerce_catalog_web_internal_portlet_CommerceCatalogsPortlet_redirect 參數執行其他管理動作。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Liferay Portal 中的脚本控制台 7.0.0 至 7.4.3.101 和 Liferay DXP 2023.Q3.1 至 2023.Q3.4、Liferay Portal 7.4.0 至 7.4.3.103和 Liferay DXP 中内容页面编辑器中的 7.4 GA 跨站请求伪造 (CSRF) 漏洞 2023.Q4.0 至 2023.Q4.2、2023.Q3.1 至 2023.Q3.5、7.4 GA 至 update 92 和 7.3 update 29 至 update 35 允许远程攻击者 (1) 更改用户密码，(2) 关闭服务器，(3) 任意执行在脚本控制台中访问代码，(4) 并通过 
_com_liferay_commerce_catalog_web_internal_portlet_CommerceCatalogsPortlet_redirect 参数。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Liferay Portal 7.0.0 ～ 7.4.3.101、Liferay DXP 2023.Q3.1 ～ 2023.Q3.4 のスクリプトコンソール、Liferay Portal 7.4.0 ～ 7.4.3.103、および Liferay DXP 2023.Q4.0 ～ 2023.Q4.2、2023.Q3.1 ～ 2023.Q3.5、update 92 までの 7.4 GA および update 29 から update 35 までの 7.3 における 7.4 GA のクロスサイトリクエスト偽造 (CSRF) の脆弱性により、リモートの攻撃者が、(1) ユーザーパスワードの変更、(2) サーバーのシャットダウン、(3) スクリプトコンソールでの任意のコード実行、(4)  
_com_liferay_commerce_catalog_web_internal_portlet_CommerceCatalogsPortlet_redirect パラメーターを介した他の管理アクションの実行を行う可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Script Console in Liferay Portal 7.0.0 through 7.4.3.101, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA tCross-site request forgery (CSRF) vulnerability in the content page editor in Liferay Portal 7.4.0 through 7.4.3.103, and Liferay DXP 2023.Q4.0 through 2023.Q4.2, 2023.Q3.1 through 2023.Q3.5, 7.4 GA through update 92 and 7.3 update 29 through update 35 allows remote attackers to (1) change user passwords, (2) shut down the server, (3) execute arbitrary code in the scripting console, (4) and perform other administrative actions via the 
_com_liferay_commerce_catalog_web_internal_portlet_CommerceCatalogsPortlet_redirect parameter.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
433692	SCA: security update for com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom (GHSA-hmrx-6pr5-hpwj)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	high
433692	SCA: security update for com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom (GHSA-hmrx-6pr5-hpwj)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	high
212768	Liferay Portal 7.4.0 < 7.4.3.104 CSRF	Nessus	CGI abuses	2024/12/13	2025/3/21	high
212768	Liferay Portal 7.4.0 < 7.4.3.104 CSRF	Nessus	CGI abuses	2024/12/13	2025/3/21	high
212768	Liferay Portal 7.4.0 < 7.4.3.104 CSRF	Nessus	CGI abuses	2024/12/13	2025/3/21	high
212768	Liferay Portal 7.4.0 < 7.4.3.104 CSRF	Nessus	CGI abuses	2024/12/13	2025/3/21	high

检测

插件搜索

high

high

high

high

high

high