PT-2025-38613 · Liferay · Liferay Portal+1

CVE-2025-43809 · Publicado 2025-09-19 · Atualizado 2025-09-20

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Liferay Portal versões 7.4.0 até 7.4.3.111 Liferay DXP versões 2023.Q3.1 até 2023.Q3.9 Liferay DXP versões 2023.Q4.0 até 2023.Q4.7 Liferay Portal 7.4 GA até a atualização 92

Descrição Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) na página de registro do servidor (licença). Isso permite que atacantes remotos registrem uma licença de servidor através do parâmetro orderUuid.

Recomendações As versões do Liferay Portal 7.4.0 até 7.4.3.111 devem ser atualizadas. As versões do Liferay DXP 2023.Q3.1 até 2023.Q3.9 devem ser atualizadas. As versões do Liferay DXP 2023.Q4.0 até 2023.Q4.7 devem ser atualizadas. O Liferay Portal 7.4 GA até a atualização 92 deve ser atualizado.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-43809

GHSA-697H-3Q6M-JWP4

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 6

• https://osv.dev/vulnerability/CVE-2025-43809 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1969291930862338508 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-43809 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-697h-3q6m-jwp4 · Aviso do Fabricante
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43809 · Aviso do Fabricante
• https://t.me/CVEtracker/32975 · Publicação no Telegram