PT-2025-41559 · Liferay · Liferay Portal+1

Foobar7 · Publicado 2025-10-10 · Atualizado 2025-10-13 · CVE-2025-62237

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.4.3.8 a 7.4.3.111 Versões do Liferay DXP 2023.Q3.1 a 2023.Q3.8 Versões do Liferay DXP 2023.Q4.0 a 2023.Q4.5 Versões do Liferay Portal 7.4 atualização 8 a atualização 92

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na página de visualização de pedidos do Commerce no software afetado. Isso permite que um atacante remoto injete scripts web arbitrários ou código HTML ao fornecer um payload manipulado no campo de texto "Name" de uma Conta. O código injetado pode então ser executado quando outros usuários visualizam a página de pedidos.

Recomendações Deve-se utilizar a versão 7.4.3.112 ou posterior do Liferay Portal. Deve-se utilizar a versão 2023.Q3.9 ou posterior do Liferay DXP. Deve-se utilizar a versão 2023.Q4.6 ou posterior do Liferay DXP. Deve-se utilizar a atualização 93 ou posterior do Liferay Portal.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-62237

GHSA-M4G9-5MG6-GFR3

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 13

• https://github.com/liferay/liferay-portal/commit/e6d49eda196676aa3fecb26f6a8ba100602d0c36 · Nota
• https://github.com/liferay/com-liferay-commerce · Nota
• https://reddit.com/r/VulnMatter/comments/1o42xq1/resumen_diario_de_vulnerabilidades_11102025 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1o5knot/resumen_diario_de_vulnerabilidades_13102025 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2025-62237 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-m4g9-5mg6-gfr3 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1976643632552652939 · Publicação no Twitter
• https://t.me/cveNotify/138137 · Publicação no Telegram
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-62237 · Aviso do Fabricante
• https://t.me/CVEtracker/34586 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1976691725444731023 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1o425y4/resumen_diario_de_vulnerabilidades_11102025 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-62237 · Nota de Segurança