CVE-2025-43773

Blogi w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach nie sprawdzają uprawnień do obrazów we wpisie bloga. Umożliwia to zdalnym atakującym przeglądanie obrazów we wpisie bloga za pomocą spreparowanego adresu URL.

Moduły Document Library i Adaptive Media w Liferay Portal (wersje 7.4.0–7.4.3.111 i starsze niewspierane) oraz Liferay DXP (2023.Q4.0–2023.Q4.10, 2023.Q3.1–2023.Q3.10, 7.4 GA–update 92 i starsze) używają nieprawidłowego nagłówka cache-control. Umożliwia to lokalnym użytkownikom dostęp do pobranych plików poprzez pamięć podręczną przeglądarki.

Liferay Portal 7.4.0 do 7.4.3.99 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2023.Q3.1 do 2023.Q3.4, 7.4 GA do update 92, 7.3 GA do update 34 i starsze nieobsługiwane wersje przechowują tokeny resetowania hasła w postaci jawnej. Umożliwia to atakującym z dostępem do bazy danych uzyskanie tokena, zresetowanie hasła użytkownika i przejęcie jego konta.

Liferay Portal w wersjach 7.4.0 do 7.4.3.109 oraz Liferay DXP w wersjach 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.7, 7.4 GA do update 92, 7.3 GA do update 35 i starsze nieobsługiwane wersje nie ograniczają prawidłowo dostępu do OpenAPI w pewnych okolicznościach. Umożliwia to zdalnym atakującym dostęp do pliku OpenAPI YAML poprzez spreparowany URL.

W Liferay Portal 7.4.0 do 7.4.3.131 oraz Liferay DXP 2024.Q4.0 do 2024.Q4.7, 2024.Q3.0 do 2024.Q3.13, 2024.Q2.0 do 2024.Q2.13 i 2024.Q1.1 do 2024.Q1.20 występuje podatność typu server-side request forgery (SSRF) dotycząca pól załączników obiektów niestandardowych. Luka pozwala atakującemu zmusić aplikację do wykonywania nieautoryzowanych żądań do innych instancji i tworzenia nowych wpisów obiektów odwołujących się do zasobów zewnętrznych.