PT-2025-41264 · Liferay · Liferay Portal+1

Foobar7 · Publicado 2025-10-08 · Atualizado 2025-10-08 · CVE-2025-43829

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.4.3.18 até 7.4.3.111 Versões do Liferay DXP 2023.Q4.0 até 2023.Q4.5 Versões do Liferay DXP 2023.Q3.1 até 2023.Q3.8 Versão do Liferay Portal 7.4 update 18 até update 92

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado em produtos do tipo diagrama dentro do Commerce no Liferay Portal e DXP. Isso permite que atacantes remotos injetem scripts web ou código HTML arbitrários por meio de um payload especialmente criado dentro de um arquivo SVG. A vulnerabilidade afeta componentes de diagrama SVG.

Recomendações Atualize o Liferay Portal para uma versão posterior à 7.4.3.111. Atualize o Liferay DXP para uma versão posterior à 2023.Q4.5. Atualize o Liferay DXP para uma versão posterior à 2023.Q3.8. Atualize o Liferay Portal para uma versão posterior à update 92.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-43829

GHSA-893R-JR58-3HXR

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 9

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/288ba1f41f8c3374c80d7af27346eeebb8c780d0 · Nota
• https://t.me/CVEtracker/34444 · Publicação no Telegram
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43829 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-43829 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1975982687270605091 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-893r-jr58-3hxr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-43829 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1975977600896909526 · Publicação no Twitter