PT-2025-16960 · Liferay · Liferay Portal+1

Lucas Machado + 1 · Publicado 2025-04-17 · Atualizado 2025-04-29 · CVE-2025-3760

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.2.0 até 7.4.3.129 Versões do Liferay DXP 2024.Q4.1 até 2024.Q4.7 Versões do Liferay DXP 2024.Q3.1 até 2024.Q3.9 Versões do Liferay DXP 2024.Q2.0 até 2024.Q2.13 Versões do Liferay DXP 2024.Q1.1 até 2024.Q1.12 Versões do Liferay DXP 2023.Q4.0 até 2023.Q4.10 Versões do Liferay DXP 2023.Q3.1 até 2023.Q3.10 Versões do Liferay Portal 7.4 GA até a atualização 92 Versões do Liferay Portal 7.3 GA até a atualização 36 Versões do Liferay Portal 7.2 GA até o Fix Pack 20

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado em campos personalizados do tipo botão de rádio, permitindo que atacantes remotos autenticados injetem JavaScript malicioso em uma página.

Recomendações Para as versões do Liferay Portal 7.2.0 até 7.4.3.129, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2024.Q4.1 até 2024.Q4.7, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2024.Q3.1 até 2024.Q3.9, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2024.Q2.0 até 2024.Q2.13, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2024.Q1.1 até 2024.Q1.12, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2023.Q4.0 até 2023.Q4.10, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay DXP 2023.Q3.1 até 2023.Q3.10, atualize para uma versão que inclua a correção para este problema. Para as versões do Liferay Portal 7.4 GA até a atualização 92, aplique a atualização 93 ou posterior. Para as versões do Liferay Portal 7.3 GA até a atualização 36, aplique a atualização 37 ou posterior. Para as versões do Liferay Portal 7.2 GA até o Fix Pack 20, aplique o Fix Pack 21 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-3760

GHSA-QHP6-VP7C-G7XP

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 9

• https://twitter.com/CVEnew/status/1913455491549692147 · Publicação no Twitter
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-3760 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qhp6-vp7c-g7xp · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1912864187807649990 · Publicação no Twitter
• https://t.me/cvetracker/21855 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-3760 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-3760 · Nota de Segurança
• https://twitter.com/0x1ucxs/status/1917294330085269841 · Publicação no Twitter
• https://t.me/cvedetector/23228 · Publicação no Telegram