PT-2025-34064 · Liferay · Liferay Portal+1

CVE-2025-43748 · Publicado 2025-08-20 · Atualizado 2025-12-16

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:H/AT:P/PR:H/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas: Liferay Portal versões 7.0.0 até 7.4.3.119 Liferay DXP versões 2023.Q3.1 até 2023.Q4.9 Liferay DXP versões 2024.Q1.1 até 2024.Q1.6

Descrição: A aplicação carece de proteção suficiente contra Falsificação de Solicitação Entre Sites (CSRF) para usuários omni-administrator. Isso permite que atacantes potencialmente executem solicitações maliciosas em nome de administradores autenticados.

Recomendações: Liferay Portal versões 7.0.0 até 7.4.3.119: Atualize para uma versão mais recente que corrige a insuficiência de proteção CSRF. Liferay DXP versões 2023.Q3.1 até 2023.Q4.9: Atualize para uma versão mais recente que corrige a insuficiência de proteção CSRF. Liferay DXP versões 2024.Q1.1 até 2024.Q1.6: Atualize para uma versão mais recente que corrige a insuficiência de proteção CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-43748

GHSA-P9GC-59HF-X48P

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 9

• https://github.com/liferay/liferay-portal · Nota
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43748 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1958180731664080897 · Publicação no Twitter
• https://t.me/cveNotify/145944 · Publicação no Telegram
• https://liferay.atlassian.net/browse/LPE-17839 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-43748 · Nota de Segurança
• https://t.me/CVEtracker/30488 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-43748 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-p9gc-59hf-x48p · Aviso do Fabricante