🇰🇷 한글 설명
Apache Tomcat이 사용되는 Liferay Portal Community Edition 6.0.6 GA 이전 6.x 버전에서 메시지 제목을 통해 원격 인증된 사용자가 임의의 웹 스크립트 또는 HTML을 주입할 수 있는 크로스사이트 스크립팅(XSS) 취약점입니다. 이는 CVE-2004-2030과는 다른 취약점이며 CVSS 점수 3.5로 낮은 심각도를 가집니다.
💡 쉬운 설명
Liferay Portal이라는 웹 애플리케이션에서 인증된 사용자가 메시지를 작성할 때 악성 JavaScript 코드를 숨겨서 주입할 수 있습니다. 다른 사용자가 그 메시지를 열람할 때 악성 코드가 실행되어 개인 정보 유출이 발생할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Liferay Portal Community Edition (CE) 6.x before 6.0.6 GA, when Apache Tomcat is used, allows remote authenticated users to inject arbitrary web script or HTML via a message title, a different vulnerability than CVE-2004-2030.
📍 영향받는 시스템
Liferay Portal Community Edition 6.0.0 ~ 6.0.5 GA (Apache Tomcat 사용)
⚔️ 공격 벡터
인증된 사용자가 메시지 제목 필드에 JavaScript 코드를 주입하여 다른 사용자의 브라우저에서 실행
🛡️ 대응 방법
Liferay Portal을 6.0.6 GA 이상으로 업그레이드
🔧 검증 코드
결과에 6.0.0~6.0.5 버전의 Liferay 설치 경로가 출력되면 취약한 상태이고, 아무것도 출력되지 않으면 해당 버전이 설치되지 않았거나 이미 6.0.6 이상으로 업그레이드된 상태입니다.
find /opt -maxdepth 2 -type d -name 'liferay*' 2>/dev/null | grep -E '6\.[0-5]$'