CVE-2025-43804
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Luka typu cross-site scripting (XSS) w widgecie Search w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez parametr _com_liferay_portal_search_web_portlet_SearchPortlet_userId.
Ocena ryzyka
Może umożliwić wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież danych sesji lub modyfikację treści strony.
Rekomendacja
Zaktualizuj Liferay Portal/DXP do wersji zawierającej poprawkę i zweryfikuj walidację parametrów w widgecie wyszukiwania.
Inne podatności w Liferay Portal / Liferay DXP
Zobacz wszystkie- CVE-2025-62254Wysokie
ComboServlet w Liferay Portal i Liferay DXP nie ogranicza liczby ani rozmiaru łączonych plików. Zdalny atakujący może poprzez ciąg zapytań URL wymusić tworzenie bardzo dużych odpowiedzi, prowadząc do ataku typu denial of service.
- CVE-2025-62255Średnie
Liferay Portal w wersjach 7.4.0 do 7.4.3.101 oraz starszych niewspieranych, a także Liferay DXP 2023.Q3.1 do 2023.Q3.5, 7.4 GA do update 92 i starsze niewspierane, są podatne na self-XSS na stronie edycji artykułu bazy wiedzy. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w nazwie pliku załącznika.
- CVE-2025-62247Średnie
W Liferay Portal i Liferay DXP występuje brak autoryzacji w komponencie Collection Provider. Użytkownicy instancji mogą odczytywać i wybierać nieautoryzowane Blueprints między instancjami.
- CVE-2025-62248Średnie
W Liferay Portal i Liferay DXP wykryto podatność typu reflected XSS wynikającą z regresji. Uwierzytelniony zdalny atakujący może wstrzyknąć i wykonać kod JavaScript poprzez parametr _com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition, a złośliwy ładunek wykonuje się w przeglądarce ofiary po wejściu na spreparowany URL.
- CVE-2025-62251Średnie
W Liferay Portal i Liferay DXP widget Menu Display Widget pokazuje treści użytkownikom bez uprawnień do ich wyświetlania. Może to skutkować ujawnieniem poufnych informacji nieuprawnionym użytkownikom.
- CVE-2025-62252Średnie
W Liferay Portal i Liferay DXP występuje podatność IDOR umożliwiająca zdalnym uwierzytelnionym użytkownikom jednej instancji wirtualnej przypisanie organizacji użytkownikowi w innej instancji wirtualnej poprzez parametr _com_liferay_users_admin_web_portlet_UsersAdminPortlet_addUserIds.
- CVE-2025-62243Średnie
W module Publications w Liferay Portal i Liferay DXP występuje podatność IDOR oraz niewłaściwa kontrola uprawnień. Zdalny uwierzytelniony atakujący może przeglądać komentarze publikacji poprzez parametr _com_liferay_change_tracking_web_portlet_PublicationsPortlet_value, a także edytować komentarze za pomocą spreparowanych URL-i.
- CVE-2025-62244Średnie
W Liferay Portal i Liferay DXP występuje podatność typu IDOR (niezabezpieczone bezpośrednie odwołanie do obiektu) w module Publications. Uwierzytelniony zdalny atakujący może wyświetlić stronę edycji publikacji, manipulując parametrem _com_liferay_change_tracking_web_portlet_PublicationsPortlet_ctCollectionId.
- CVE-2025-62245Średnie
Podatność Cross-Site Request Forgery (CSRF) w Liferay Portal 7.4.1 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym atakującym dodawać i edytować komentarze do publikacji.
- CVE-2025-62239Średnie
Luka typu cross-site scripting (XSS) w kreatorze procesów workflow w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowane dane wejściowe w definicji workflow.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in Search widget in Liferay Portal 7.4.3.93 through 7.4.3.111, and Liferay DXP 2023.Q4.0, 2023.Q3.1 through 2023.Q3.4 allows remote attackers to inject arbitrary web script or HTML via the _com_liferay_portal_search_web_portlet_SearchPortlet_userId parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS