CVE-2025-43790
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność Insecure Direct Object Reference (IDOR) w Liferay Portal (wersje 7.4.0 do 7.4.3.124) oraz Liferay DXP (wersje 2024.Q2.0 do 2024.Q2.6, 2024.Q1.1 do 2024.Q1.12, 7.4 GA do update 92) pozwala zdalnym uwierzytelnionym użytkownikom na dostęp, tworzenie, edycję i powiązanie danych/obiektów z jednej wirtualnej instancji z obiektem w innej wirtualnej instancji.
Ocena ryzyka
Uwierzytelniony użytkownik może naruszyć izolację wirtualnych instancji, modyfikując dane w instancjach, do których nie powinien mieć dostępu.
Rekomendacja
Należy zainstalować poprawkę dostarczoną przez producenta Liferay oraz zweryfikować uprawnienia użytkowników wirtualnych instancji.
Inne podatności w Liferay Portal and Liferay DXP
Zobacz wszystkie- CVE-2025-62259Średnie
W Liferay Portal w wersjach 7.4.0 do 7.4.3.109 oraz w Liferay DXP w określonych wersjach nie ograniczono dostępu do API przed weryfikacją adresu e-mail użytkownika. Zdalni użytkownicy mogą uzyskać dostęp do API i edytować treści bez potwierdzenia adresu e-mail.
- CVE-2025-43816Wysokie
Wyciek pamięci w API headless dla StructuredContents w Liferay Portal (wersje 7.4.0 do 7.4.3.119 i starsze) oraz Liferay DXP (wersje 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2024.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze) pozwala atakującemu na wielokrotne wywoływanie punktu końcowego API, co prowadzi do niedostępności serwera (denial of service).
Oryginalny opis (angielski, źródło NVD)
Insecure Direct Object Reference (IDOR) vulnerability in Liferay Portal 7.4.0 through 7.4.3.124, and Liferay DXP 2024.Q2.0 through 2024.Q2.6, 2024.Q1.1 through 2024.Q1.12 and 7.4 GA through update 92 allows remote authenticated users to from one virtual instance to access, create, edit, relate data/object entries/definitions to an object in a different virtual instance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS