# N/A

## 漏洞概述

Liferay Portal 和 Liferay DXP 在特定版本中存在一个信息泄露漏洞。当使用已被删除的客户端密钥（Client Secret）进行登录尝试时，系统会在响应体中返回 "Internal Server Error" 错误信息，可能导致攻击者判断出相应认证信息的状态。

## 影响版本

- **Liferay Portal**: 7.4.0 至 7.4.3.132
- **Liferay DXP**:
  - 2025.Q2.0 至 2025.Q2.9
  - 2025.Q1.0 至 2025.Q1.16
  - 2024.Q4.0 至 2024.Q4.7
  - 2024.Q3.0 至 2024.Q3.13
  - 2024.Q2.0 至 2024.Q2.13
  - 2024.Q1.1 至 2024.Q1.19

## 漏洞细节

当攻击者使用已被删除的 Client Secret 尝试认证时，应用程序返回 HTTP 500 错误（"Internal Server Error"），而非统一的认证失败响应。这种差异化响应可能被用于推断认证凭据的状态。

## 潜在影响

攻击者可利用该响应信息进行枚举或探测，辨别出哪些 Client Secret 已被删除、哪些仍有效，从而辅助进一步的攻击行为（如暴力破解、凭据滥用等）。