Liferay デフォルト ログアウト リンクの潜在的な CSRF (<Site address>/c/ポータル/ログアウト)

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• Liferay DXP インスタンスのデフォルトのログアウト リンク (<Site address>/c/portal/logout) は、Liferay DXP インスタンスの外部、つまり HTML ファイルからアクセスできます。

再現する手順

1. Liferay DXP にログインします。
2. HTML ファイルを作成し、このファイル
3 に次の行 <a href="http://localhost:8080/c/portal/logout"/>クリック</a> を挿入します。 Chrome
4 で HTML ファイルを開きます。 管理者ユーザーでログインしたままにして、HTML ファイル
5 のリンクをクリックします。 管理者ユーザーとしてログインした Liferay DXP 7.2 ポータルを更新します。

結果: ログインしているユーザー (管理者ユーザー) がログアウトされます

Environment

• Liferay DXP 7.2

解決策

• LPS-13384 によると、この問題は現在のところ改善として分類されています。