PT-2025-41603 · Liferay · Liferay Portal+1

Foobar7 · Publicado 2025-10-10 · Atualizado 2025-10-13 · CVE-2025-62245

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay Portal 7.4.1 até 7.4.3.112 Versões do Liferay DXP 2023.Q3.1 até 2023.Q3.10 Versões do Liferay DXP 2023.Q4.0 até 2023.Q4.5

Descrição Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF). Isso permite que atacantes remotos adicionem e editem comentários de publicação. A funcionalidade afetada não requer autenticação, potencialmente permitindo ações não autorizadas.

Recomendações Atualize o Liferay Portal para uma versão posterior à 7.4.3.112. Atualize o Liferay DXP para uma versão posterior à 2023.Q3.10. Atualize o Liferay DXP para uma versão posterior à 2023.Q4.5.

Correção

IDOR

CSRF

Enumeração de Fraquezas

CWE-639

CWE-352

Identificadores relacionados

CVE-2025-62245

GHSA-3CM9-JRF5-H2CX

GHSA-9676-RH83-CR86

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 14

• https://github.com/liferay/liferay-portal · Nota
• https://github.com/liferay/liferay-portal/commit/dd89fff675f04d146fda38a1bec884cf40d0c756 · Nota
• https://github.com/liferay/liferay-portal/commit/fa356d07ab239e790b7e460d33c25184aef58716 · Nota
• https://osv.dev/vulnerability/GHSA-9676-rh83-cr86 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-62242 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-62245 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1o5knot/resumen_diario_de_vulnerabilidades_13102025 · Publicação no Reddit
• https://twitter.com/CVEnew/status/1976731114514362453 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1976776190082867411 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-62245 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3cm9-jrf5-h2cx · Aviso do Fabricante
• https://t.me/CVEtracker/34619 · Publicação no Telegram
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-62245 · Aviso do Fabricante
• https://liferay.atlassian.net/browse/LPE-17932 · Nota