CVE-2024-25602 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Liferay Portal/DXP 用户管理模块存在 **存储型 XSS** 漏洞。 💥 **后果**：攻击者可将恶意脚本注入“名称”字段，当其他用户查看时，脚本执行，导致 **会话劫持、数据窃取或页面篡改**。

🔍 **CWE**：CWE-79 (跨站脚本)。📍 **缺陷点**：用户编辑页面中的 **“名称”文本字段** 未对输入进行充分过滤或转义，导致恶意代码被持久化存储。

🏢 **厂商**：Liferay。 📦 **产品**：Liferay Portal 和 Liferay DXP。 👥 **组件**：用户管理模块 (User Management Module)。

🕵️ **权限**：需 **经过身份验证** 的远程用户。 📊 **数据**：可窃取受害者的 **Cookie/Session**，冒充用户执行操作，或读取敏感页面内容。

🚧 **门槛**：中等。 ✅ **认证**：需要 **登录账号** (PR:L)。 👀 **交互**：需受害者 **访问** 包含恶意负载的页面 (UI:R)。 🌐 **网络**：远程可利用 (AV:N)。

📦 **Exp**：数据中 **未提供** 现成 PoC 或公开在野利用代码。 ⚠️ **注意**：虽无公开 Exp，但存储型 XSS 原理简单，自行构造 Payload 难度低。

🔎 **自查**： 1. 检查 Liferay 版本是否受影响。 2. 审计用户管理模块的输入验证逻辑。 3. 扫描 Web 应用防火墙日志，查找针对 `/user/` 或编辑接口的 XSS 注入尝试。

🛡️ **补丁**：官方已发布安全公告 (2024-02-21)。 📝 **行动**：请立即查阅 [Liferay 官方安全页面](https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2024-25602) 获取最新补丁或升级建议。

🚫 **临时规避**： 1. **严格过滤**：在“名称”字段输入处实施严格的白名单过滤（仅允许字母、数字、基本符号）。 2. **WAF 规则**：部署 WAF 规则拦截包含 `<script>`、`onerror=` 等特征的请求。 3. **权限最小化**：限制能编辑用户信息的账号权限。

🔥 **优先级**：**高**。 📈 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H (整体评分高)。 💡 **建议**：虽然需要认证，但存储型 XSS 危害持久且广泛，建议 **立即升级** 或应用缓解措施。