PT-2025-34037 · Liferay · Liferay Portal+1

CVE-2025-43742 · Publicado 2025-08-20 · Atualizado 2025-12-16

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Liferay Portal 7.4.0 a 7.4.3.132 Versões do Liferay DXP 2024.Q1.1 a 2024.Q1.14 Versões do Liferay DXP 2024.Q2.0 a 2024.Q2.13 Versões do Liferay DXP 2024.Q3.1 a 2024.Q3.13 Versões do Liferay DXP 2024.Q4.0 a 2024.Q4.7 Versões do Liferay DXP 2025.Q1.0 a 2025.Q1.3 Liferay Portal 7.4 GA até a atualização 92

Descrição: Uma vulnerabilidade de cross-site scripting (XSS) refletido permite que um atacante remoto, não autenticado, injete JavaScript no conteúdo web ao usar URLs amigáveis.

Recomendações: Versões do Liferay Portal 7.4.0 a 7.4.3.132: Atualize para uma versão mais recente. Versões do Liferay DXP 2024.Q1.1 a 2024.Q1.14: Atualize para uma versão mais recente. Versões do Liferay DXP 2024.Q2.0 a 2024.Q2.13: Atualize para uma versão mais recente. Versões do Liferay DXP 2024.Q3.1 a 2024.Q3.13: Atualize para uma versão mais recente. Versões do Liferay DXP 2024.Q4.0 a 2024.Q4.7: Atualize para uma versão mais recente. Versões do Liferay DXP 2025.Q1.0 a 2025.Q1.3: Atualize para uma versão mais recente. Liferay Portal 7.4 GA até a atualização 92: Atualize para uma versão mais recente.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-43742

GHSA-3FP2-6MWQ-4Q3J

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 11

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/f2621572ca5abfe46bad0dca2fa4836deeefa000 · Nota
• https://github.com/liferay/liferay-portal/commit/9bd2ae22416d20f5e8ce2800ea96993c7df98f95 · Nota
• https://liferay.atlassian.net/browse/LPE-18192 · Nota
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43742 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1958180757333246069 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-43742 · Aviso do Fabricante
• https://t.me/cveNotify/145943 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1958258584208253364 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-43742 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3fp2-6mwq-4q3j · Aviso do Fabricante