CVE-2025-43816
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wyciek pamięci w API headless dla StructuredContents w Liferay Portal (wersje 7.4.0 do 7.4.3.119 i starsze) oraz Liferay DXP (wersje 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2024.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze) pozwala atakującemu na wielokrotne wywoływanie punktu końcowego API, co prowadzi do niedostępności serwera (denial of service).
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania pamięci i niedostępności serwera Liferay, zakłócając działanie aplikacji.
Rekomendacja
Należy zaktualizować Liferay Portal/DXP do wersji zawierającej poprawkę oraz ograniczyć dostęp do API headless.
Inne podatności w Liferay Portal and Liferay DXP
Zobacz wszystkie- CVE-2025-62259Średnie
W Liferay Portal w wersjach 7.4.0 do 7.4.3.109 oraz w Liferay DXP w określonych wersjach nie ograniczono dostępu do API przed weryfikacją adresu e-mail użytkownika. Zdalni użytkownicy mogą uzyskać dostęp do API i edytować treści bez potwierdzenia adresu e-mail.
- CVE-2025-43790Wysokie
Podatność Insecure Direct Object Reference (IDOR) w Liferay Portal (wersje 7.4.0 do 7.4.3.124) oraz Liferay DXP (wersje 2024.Q2.0 do 2024.Q2.6, 2024.Q1.1 do 2024.Q1.12, 7.4 GA do update 92) pozwala zdalnym uwierzytelnionym użytkownikom na dostęp, tworzenie, edycję i powiązanie danych/obiektów z jednej wirtualnej instancji z obiektem w innej wirtualnej instancji.
Oryginalny opis (angielski, źródło NVD)
A memory leak in the headless API for StructuredContents in Liferay Portal 7.4.0 through 7.4.3.119, and older unsupported versions, and Liferay DXP 2024.Q1.1 through 2024.Q1.5, 2023.Q4.0 through 2024.Q4.10, 2023.Q3.1 through 2023.Q3.10, 7.4 GA through update 92, and older unsupported versions allows an attacker to cause server unavailability (denial of service) via repeatedly calling the API endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS