PT-2025-34518 · Liferay · Kaleo Designer Portlet+2

CVE-2025-43764 · Publicado 2025-08-23 · Atualizado 2025-08-23

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:H/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas: Liferay Portal versões 7.4.0 até 7.4.3.131 Liferay DXP versões 2024.Q1.1 até 2024.Q1.20 Liferay DXP versões 2024.Q2.1 até 2024.Q2.13 Liferay DXP versões 2024.Q3.0 até 2024.Q3.13 Liferay DXP versões 2024.Q4.0 até 2024.Q4.1 Liferay Portal 7.4 GA até a atualização 92

Descrição: Um problema de Self-ReDoS (Negação de Serviço por Expressão Regular) existe no campo de pesquisa do Nome da Função do JavaScript do portlet Kaleo Designer. Isso permite que usuários autenticados com permissões para atualizar Workflows Kaleo enviem um padrão de Expressão Regular (Regex) malicioso, potencialmente causando o travamento do navegador.

Recomendações: Liferay Portal versões 7.4.0 até 7.4.3.131: Atualize para uma versão posterior à 7.4.3.131. Liferay DXP versões 2024.Q1.1 até 2024.Q1.20: Atualize para uma versão posterior à 2024.Q1.20. Liferay DXP versões 2024.Q2.1 até 2024.Q2.13: Atualize para uma versão posterior à 2024.Q2.13. Liferay DXP versões 2024.Q3.0 até 2024.Q3.13: Atualize para uma versão posterior à 2024.Q3.13. Liferay DXP versões 2024.Q4.0 até 2024.Q4.1: Atualize para uma versão posterior à 2024.Q4.1. Liferay Portal 7.4 GA até a atualização 92: Atualize para uma versão posterior à atualização 92.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2025-43764

GHSA-23W4-RPC6-WPCC

Produtos afetados

Kaleo Designer Portlet

Liferay Dxp

Liferay Portal

Referências · 11

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/12a076172494707748325836b3d5236507be0490 · Nota
• https://liferay.atlassian.net/browse/LPE-18148 · Nota
• https://twitter.com/VulmonFeeds/status/1959169985185526022 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-43764 · Aviso do Fabricante
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43764 · Aviso do Fabricante
• https://t.me/CVEtracker/30764 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-23w4-rpc6-wpcc · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1959147716191092949 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-43764 · Nota de Segurança
• https://t.me/cveNotify/133250 · Publicação no Telegram