Liferay Portal和Liferay DXP反射型跨站脚本(XSS)漏洞分析

漏洞概述

CVE ID: CVE-2025-62248
严重程度: 中等
CVSS评分: 4.8/10

受影响版本

Liferay Portal

• 7.4.0 至 7.4.3.132

Liferay DXP

• 2025.Q2.0 至 2025.Q2.9
• 2025.Q1.0 至 2025.Q1.16
• 2024.Q4.0 至 2024.Q4.7
• 2024.Q3.1 至 2024.Q3.13
• 2024.Q2.1 至 2024.Q2.13
• 2024.Q1.1 至 2024.Q1.19

漏洞详情

该漏洞是一个由于回归问题导致的反射型跨站脚本(XSS)漏洞。远程认证攻击者可以通过_com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition参数注入并执行JavaScript代码。当受害者访问包含恶意构造参数的URL时，恶意负载将在受害者的浏览器中执行。

技术细节

受影响的包:

• Maven: com.liferay:com.liferay.dynamic.data.mapping.web
• 受影响版本: <= 5.0.122
• 已修复版本: 无

CVSS v4 基准指标

可利用性指标

• 攻击向量: 网络
• 攻击复杂度: 低
• 攻击要求: 无
• 所需权限: 高
• 用户交互: 被动

脆弱系统影响指标

• 机密性: 低
• 完整性: 无
• 可用性: 无

后续系统影响指标

• 机密性: 低
• 完整性: 无
• 可用性: 无

相关参考

• https://nvd.nist.gov/vuln/detail/CVE-2025-62248
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-62248
• liferay/liferay-portal@a659c94
• https://liferay.atlassian.net/browse/LPE-18304

弱点分类

CWE-79: 在网页生成过程中对输入的不恰当中和（跨站脚本）

该弱点指产品在将用户可控的输入放置到提供给其他用户的网页输出中之前，未能正确中和或错误地中和这些输入。

漏洞状态

• 国家漏洞数据库发布日期: 2025年10月22日
• GitHub咨询数据库发布日期: 2025年10月22日
• 审核日期: 2025年10月22日
• 最后更新日期: 2025年10月22日

EPSS评分

0.139% (第35百分位) 该分数估计此漏洞在接下来30天内被利用的概率。