PT-2025-41802 · Liferay · Liferay Dxp

Foobar7 · Publicado 2025-10-13 · Atualizado 2025-10-13 · CVE-2025-62241

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Liferay DXP de 2023.Q4.1 a 2023.Q4.5

Descrição Existe uma vulnerabilidade de Referência Insegura Direta a Objetos (IDOR) no Liferay DXP que permite a usuários remotos autenticados acessar endereços de entrega de diferentes instâncias virtuais. Isso ocorre através do parâmetro commerceOrderId no componente com liferay commerce order web internal portlet CommerceOrderPortlet.

Recomendações Atualize as versões do Liferay DXP anteriores a 2023.Q4.6.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-62241

GHSA-FHCW-PX4Q-PMVV

Produtos afetados

Liferay Dxp

Referências · 10

• https://github.com/liferay/liferay-portal/commit/53401963f02f593bbf555b4b321fdaeb59e03a53 · Nota
• https://github.com/liferay/liferay-portal/commit/75c39ea518eb91b3b5cbb0576074ebbbfd805401 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-62241 · Nota de Segurança
• https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-62241 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1977820914860654956 · Publicação no Twitter
• https://liferay.atlassian.net/browse/LPE-17936 · Nota
• https://osv.dev/vulnerability/CVE-2025-62241 · Aviso do Fabricante
• https://t.me/CVEtracker/34787 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1977836441121005776 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-fhcw-px4q-pmvv · Aviso do Fabricante