CVE-2024-25610 — 神龙十问 AI 深度分析摘要

🚨 **本质**：默认配置下，JavaScript 博客条目未被清理。 💥 **后果**：允许注入任意 Web 脚本或 HTML，导致 XSS 攻击。

🔍 **CWE**：CWE-1188。 🐛 **缺陷**：输入验证缺失，未对博客内容中的脚本进行过滤或转义。

🏢 **厂商**：Liferay。 📦 **产品**：Liferay Portal 和 Liferay DXP。

🕵️ **权限**：需远程身份验证用户。 📊 **数据**：可执行任意脚本，窃取会话、篡改页面内容，危害极高（CVSS H）。

🚪 **门槛**：中等。 ✅ **条件**：需**身份验证**（PR:L），且用户需交互（UI:R），但攻击向量网络（AV:N）。

📦 **Exp**：数据中未提供现成 PoC。 🌍 **在野**：暂无公开在野利用报告。

🔎 **自查**：检查博客条目是否包含未转义的 `<script>` 标签。 🛠 **扫描**：使用支持 CWE-1188 的 DAST 工具扫描 Liferay 实例。

🛡️ **官方**：已发布安全公告。 📝 **链接**：参考 Liferay 官方已知漏洞页面（vendor-advisory）。

⚠️ **规避**：严格限制博客内容的输入。 🚫 **策略**：启用 HTML 过滤器，禁止普通用户发布含脚本的内容。

🔥 **优先级**：高。 📈 **理由**：CVSS 评分高（C:H, I:H, A:H），虽需认证，但影响范围大，建议尽快修补。