CVE-2025-43789
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Liferay Portal i Liferay DXP usługi JSON Web Services publikowane w OSGi są rejestrowane i wywoływane bezpośrednio jako klasy, co pozwala na wykonanie polityk dostępu do usług (Service Access Policies).
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do usług lub obejścia mechanizmów kontroli dostępu.
Rekomendacja
Zaktualizuj Liferay Portal do wersji nowszej niż 7.4.3.119 oraz Liferay DXP do odpowiednich poprawek (np. 2024.Q1.10, 7.4 update 93).
Inne podatności w Liferay Portal, Liferay DXP
Zobacz wszystkie- CVE-2025-62254Wysokie
ComboServlet w Liferay Portal i Liferay DXP nie ogranicza liczby ani rozmiaru łączonych plików. Zdalny atakujący może poprzez ciąg zapytań URL wymusić tworzenie bardzo dużych odpowiedzi, prowadząc do ataku typu denial of service.
- CVE-2025-62255Średnie
Liferay Portal w wersjach 7.4.0 do 7.4.3.101 oraz starszych niewspieranych, a także Liferay DXP 2023.Q3.1 do 2023.Q3.5, 7.4 GA do update 92 i starsze niewspierane, są podatne na self-XSS na stronie edycji artykułu bazy wiedzy. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w nazwie pliku załącznika.
- CVE-2025-62247Średnie
W Liferay Portal i Liferay DXP występuje brak autoryzacji w komponencie Collection Provider. Użytkownicy instancji mogą odczytywać i wybierać nieautoryzowane Blueprints między instancjami.
- CVE-2025-62248Średnie
W Liferay Portal i Liferay DXP wykryto podatność typu reflected XSS wynikającą z regresji. Uwierzytelniony zdalny atakujący może wstrzyknąć i wykonać kod JavaScript poprzez parametr _com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition, a złośliwy ładunek wykonuje się w przeglądarce ofiary po wejściu na spreparowany URL.
- CVE-2025-62251Średnie
W Liferay Portal i Liferay DXP widget Menu Display Widget pokazuje treści użytkownikom bez uprawnień do ich wyświetlania. Może to skutkować ujawnieniem poufnych informacji nieuprawnionym użytkownikom.
- CVE-2025-62252Średnie
W Liferay Portal i Liferay DXP występuje podatność IDOR umożliwiająca zdalnym uwierzytelnionym użytkownikom jednej instancji wirtualnej przypisanie organizacji użytkownikowi w innej instancji wirtualnej poprzez parametr _com_liferay_users_admin_web_portlet_UsersAdminPortlet_addUserIds.
- CVE-2025-62243Średnie
W module Publications w Liferay Portal i Liferay DXP występuje podatność IDOR oraz niewłaściwa kontrola uprawnień. Zdalny uwierzytelniony atakujący może przeglądać komentarze publikacji poprzez parametr _com_liferay_change_tracking_web_portlet_PublicationsPortlet_value, a także edytować komentarze za pomocą spreparowanych URL-i.
- CVE-2025-62244Średnie
W Liferay Portal i Liferay DXP występuje podatność typu IDOR (niezabezpieczone bezpośrednie odwołanie do obiektu) w module Publications. Uwierzytelniony zdalny atakujący może wyświetlić stronę edycji publikacji, manipulując parametrem _com_liferay_change_tracking_web_portlet_PublicationsPortlet_ctCollectionId.
- CVE-2025-62245Średnie
Podatność Cross-Site Request Forgery (CSRF) w Liferay Portal 7.4.1 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym atakującym dodawać i edytować komentarze do publikacji.
- CVE-2025-62239Średnie
Luka typu cross-site scripting (XSS) w kreatorze procesów workflow w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowane dane wejściowe w definicji workflow.
Oryginalny opis (angielski, źródło NVD)
JSON Web Services in Liferay Portal 7.4.0 through 7.4.3.119, and Liferay DXP 2024.Q1.1 through 2024.Q1.9, 7.4 GA through update 92 published to OSGi are registered and invoked directly as classes which allows Service Access Policies get executed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS