PT-2025-34043 · Liferay · Liferay Portal+1

Publicado 2025-08-20 · Atualizado 2025-12-16 · CVE-2025-43749

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas: Versões do Liferay Portal 7.4.0 até 7.4.3.132 Versões do Liferay DXP 2025.Q1.0 até 2025.Q1.1 Versões do Liferay DXP 2024.Q4.0 até 2024.Q4.7 Versões do Liferay DXP 2024.Q3.1 até 2024.Q3.13 Versões do Liferay DXP 2024.Q2.0 até 2024.Q2.13 Versões do Liferay DXP 2024.Q1.1 até 2024.Q1.14 Liferay Portal 7.4 GA até a atualização 92

Descrição: A vulnerabilidade permite que usuários não autenticados (convidados) acessem arquivos carregados via URL e armazenados na document library.

Recomendações: Versões do Liferay Portal 7.4.0 até 7.4.3.132: Atualize para uma versão posterior à 7.4.3.132. Versões do Liferay DXP 2025.Q1.0 até 2025.Q1.1: Atualize para uma versão posterior à 2025.Q1.1. Versões do Liferay DXP 2024.Q4.0 até 2024.Q4.7: Atualize para uma versão posterior à 2024.Q4.7. Versões do Liferay DXP 2024.Q3.1 até 2024.Q3.13: Atualize para uma versão posterior à 2024.Q3.13. Versões do Liferay DXP 2024.Q2.0 até 2024.Q2.13: Atualize para uma versão posterior à 2024.Q2.13. Versões do Liferay DXP 2024.Q1.1 até 2024.Q1.14: Atualize para uma versão posterior à 2024.Q1.14. Liferay Portal 7.4 GA até a atualização 92: Atualize para uma versão posterior à atualização 92.

Correção

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

CVE-2025-43749

GHSA-5FX5-CFF6-F3FP

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 11

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/b88e7e0912d27cc166fc788b642616ece9e8c484 · Nota
• https://github.com/liferay/liferay-portal/commit/5919534a979a97444172f49705b7a224e372e625 · Nota
• https://osv.dev/vulnerability/CVE-2025-43749 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1958180751146725829 · Publicação no Twitter
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43749 · Aviso do Fabricante
• https://t.me/cveNotify/145936 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-5fx5-cff6-f3fp · Aviso do Fabricante
• https://liferay.atlassian.net/browse/LPE-18176 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-43749 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1958250904508920158 · Publicação no Twitter