PT-2025-33842 · Liferay · Liferay Portal+1

Ndix · Publicado 2025-08-19 · Atualizado 2025-12-15 · CVE-2025-43745

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Liferay Portal versões 7.4.0 até 7.4.3.132 Liferay DXP versões 2025.Q2.0 até 2025.Q2.7 Liferay DXP versões 2025.Q1.0 até 2025.Q1.14 Liferay DXP versões 2024.Q4.0 até 2024.Q4.7 Liferay DXP versões 2024.Q3.1 até 2024.Q3.13 Liferay DXP versões 2024.Q2.0 até 2024.Q2.13 Liferay DXP versões 2024.Q1.1 até 2024.Q1.19 Liferay DXP 7.4 GA até a atualização 92

Descrição: Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) que permite que atacantes remotos realizem solicitações de origem cruzada em nome de um usuário autenticado. O ataque é realizado por meio do parâmetro endpoint.

Recomendações: Atualize o Liferay Portal para uma versão posterior à 7.4.3.132. Atualize o Liferay DXP para uma versão posterior à 2025.Q2.7. Atualize o Liferay DXP para uma versão posterior à 2025.Q1.14. Atualize o Liferay DXP para uma versão posterior à 2024.Q4.7. Atualize o Liferay DXP para uma versão posterior à 2024.Q3.13. Atualize o Liferay DXP para uma versão posterior à 2024.Q2.13. Atualize o Liferay DXP para uma versão posterior à 2024.Q1.19. Atualize o Liferay DXP para uma versão posterior à atualização 92.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-43745

GHSA-7Q33-GWCM-R6CJ

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 12

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/729dfc202c9d2724b5f3f749ead14eb13832e101 · Nota
• https://github.com/liferay/liferay-portal/commit/037b58f96c9ded47960ab493a68d68aaf32b1a43 · Nota
• https://github.com/liferay/liferay-portal/commit/2387ee78fd471ea1c1c4d696aa0cbb1bce72665e · Nota
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43745 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7q33-gwcm-r6cj · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-43745 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-43745 · Nota de Segurança
• https://liferay.atlassian.net/browse/LPE-18275 · Nota
• https://twitter.com/CVEnew/status/1957883548989345828 · Publicação no Twitter
• https://t.me/cveNotify/145824 · Publicação no Telegram
• https://t.me/CVEtracker/30383 · Publicação no Telegram