PT-2025-37278 · Liferay · Liferay Dxp 7.4+2

Publicado 2025-09-12 · Atualizado 2025-09-12 · CVE-2025-43789

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Liferay Portal versões 7.4.0 a 7.4.3.119 Liferay DXP versões 2024.Q1.1 a 2024.Q1.9 Liferay DXP 7.4 GA até a atualização 92

Descrição: Os JSON Web Services no Liferay Portal e DXP são registrados e invocados diretamente como classes, permitindo que as Políticas de Acesso ao Serviço sejam executadas. Isso permite o contorno dos mecanismos de segurança previstos.

Recomendações: Atualize o Liferay Portal para uma versão posterior a 7.4.3.119. Atualize o Liferay DXP para uma versão posterior a 2024.Q1.9. Atualize o Liferay DXP 7.4 para uma versão posterior à atualização 92.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-43789

GHSA-Q86R-GWQC-JX85

Produtos afetados

Liferay Dxp

Liferay Dxp 7.4

Liferay Portal

Referências · 10

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/cb349be999396e97883e5fa7ccf2d226737779ac · Nota
• https://github.com/liferay/liferay-portal/commit/e91daba3736ea30674f0beb5f6622c6df057d18b · Nota
• https://github.com/liferay/liferay-portal/commit/dfdd81d51808e38098e9a3250f3c8819e0761377 · Nota
• https://github.com/liferay/liferay-portal/commit/576039619a12f28304c5153ad3fa5e39f00548b3 · Nota
• https://osv.dev/vulnerability/CVE-2025-43789 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q86r-gwqc-jx85 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-43789 · Nota de Segurança
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43789 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1966408666745041173 · Publicação no Twitter