PT-2025-39228 · Liferay · Liferay Portal+1

Ndix · Publicado 2025-09-24 · Atualizado 2025-12-15 · CVE-2025-43779

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.4.0 até 7.4.3.112 Versões do Liferay DXP 2024.Q1.1 até 2024.Q1.18 Versões do Liferay DXP 7.4 GA até a atualização 92

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) refletido que permite a um atacante remoto autenticado injetar código JavaScript. A injeção ocorre por meio do parâmetro com liferay commerce product definitions web internal portlet CPDefinitionsPortlet productTypeName. Este código malicioso é então refletido e executado no navegador do usuário.

Recomendações Atualize o Liferay Portal para uma versão posterior à 7.4.3.112. Atualize o Liferay DXP para uma versão posterior à 2024.Q1.18. Atualize o Liferay DXP para uma versão posterior à atualização 92.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-43779

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 7

• https://t.me/cveNotify/145795 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1970765353081766049 · Publicação no Twitter
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43779 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-43779 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-43779 · Aviso do Fabricante
• https://t.me/CVEtracker/33216 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1970718498193014897 · Publicação no Twitter