PT-2025-39907 · Liferay · Liferay Portal+1

Argon21 · Publicado 2025-09-29 · Atualizado 2025-09-30 · CVE-2025-43812

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.4.3.4 a 7.4.3.111 Versões do Liferay DXP 2023.Q3.1 a 2023.Q3.8 Versões do Liferay DXP 2023.Q4.0 a 2023.Q4.4

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) na funcionalidade de modelo de conteúdo web. Isso permite que um usuário autenticado remoto injete scripts ou HTML arbitrários. A injeção ocorre por meio de um payload elaborado no campo de texto "Nome" de uma estrutura de conteúdo web.

Recomendações Atualize o Liferay Portal para uma versão posterior a 7.4.3.111. Atualize o Liferay DXP para uma versão posterior a 2023.Q3.8. Atualize o Liferay DXP para uma versão posterior a 2023.Q4.4.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-43812

GHSA-JV8X-MM3V-75R7

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 10

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/7466c9ba0126a4a93c85913cbec9b11c687deb36 · Nota
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43812 · Aviso do Fabricante
• https://liferay.atlassian.net/browse/LPE-17942 · Nota
• https://twitter.com/VulmonFeeds/status/1972918079014220201 · Publicação no Twitter
• https://t.me/CVEtracker/33663 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-43812 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jv8x-mm3v-75r7 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1972788806660321616 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-43812 · Nota de Segurança