CVE-2025-43820
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wiele podatności typu cross-site scripting (XSS) w widżecie Calendar podczas zapraszania użytkowników do wydarzenia w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska użytkownika.
Ocena ryzyka
Możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Wymaga interakcji z zainfekowanym wydarzeniem.
Rekomendacja
Zaktualizuj Liferay Portal i Liferay DXP do wersji zawierającej poprawkę. Wdroż walidację i sanityzację danych wejściowych w widżecie Calendar.
Inne podatności w Liferay Portal/Liferay DXP
Zobacz wszystkie- CVE-2025-62254Wysokie
ComboServlet w Liferay Portal i Liferay DXP nie ogranicza liczby ani rozmiaru łączonych plików. Zdalny atakujący może poprzez ciąg zapytań URL wymusić tworzenie bardzo dużych odpowiedzi, prowadząc do ataku typu denial of service.
- CVE-2025-62255Średnie
Liferay Portal w wersjach 7.4.0 do 7.4.3.101 oraz starszych niewspieranych, a także Liferay DXP 2023.Q3.1 do 2023.Q3.5, 7.4 GA do update 92 i starsze niewspierane, są podatne na self-XSS na stronie edycji artykułu bazy wiedzy. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w nazwie pliku załącznika.
- CVE-2025-62247Średnie
W Liferay Portal i Liferay DXP występuje brak autoryzacji w komponencie Collection Provider. Użytkownicy instancji mogą odczytywać i wybierać nieautoryzowane Blueprints między instancjami.
- CVE-2025-62248Średnie
W Liferay Portal i Liferay DXP wykryto podatność typu reflected XSS wynikającą z regresji. Uwierzytelniony zdalny atakujący może wstrzyknąć i wykonać kod JavaScript poprzez parametr _com_liferay_dynamic_data_mapping_web_portlet_DDMPortlet_definition, a złośliwy ładunek wykonuje się w przeglądarce ofiary po wejściu na spreparowany URL.
- CVE-2025-62251Średnie
W Liferay Portal i Liferay DXP widget Menu Display Widget pokazuje treści użytkownikom bez uprawnień do ich wyświetlania. Może to skutkować ujawnieniem poufnych informacji nieuprawnionym użytkownikom.
- CVE-2025-62252Średnie
W Liferay Portal i Liferay DXP występuje podatność IDOR umożliwiająca zdalnym uwierzytelnionym użytkownikom jednej instancji wirtualnej przypisanie organizacji użytkownikowi w innej instancji wirtualnej poprzez parametr _com_liferay_users_admin_web_portlet_UsersAdminPortlet_addUserIds.
- CVE-2025-62243Średnie
W module Publications w Liferay Portal i Liferay DXP występuje podatność IDOR oraz niewłaściwa kontrola uprawnień. Zdalny uwierzytelniony atakujący może przeglądać komentarze publikacji poprzez parametr _com_liferay_change_tracking_web_portlet_PublicationsPortlet_value, a także edytować komentarze za pomocą spreparowanych URL-i.
- CVE-2025-62244Średnie
W Liferay Portal i Liferay DXP występuje podatność typu IDOR (niezabezpieczone bezpośrednie odwołanie do obiektu) w module Publications. Uwierzytelniony zdalny atakujący może wyświetlić stronę edycji publikacji, manipulując parametrem _com_liferay_change_tracking_web_portlet_PublicationsPortlet_ctCollectionId.
- CVE-2025-62245Średnie
Podatność Cross-Site Request Forgery (CSRF) w Liferay Portal 7.4.1 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym atakującym dodawać i edytować komentarze do publikacji.
- CVE-2025-62239Średnie
Luka typu cross-site scripting (XSS) w kreatorze procesów workflow w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowane dane wejściowe w definicji workflow.
Oryginalny opis (angielski, źródło NVD)
Multiple cross-site scripting (XSS) vulnerabilities in the Calendar widget when inviting users to a event in Liferay Portal 7.4.3.35 through 7.4.3.110, and Liferay DXP 2023.Q4.0 through 2023.Q4.4, 2023.Q3.1 through 2023.Q3.6, 7.4 update 35 through update 92, and 7.3 update 25 through update 35 allow remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a user’s (1) First Name, (2) Middle text, or (3) Last Name text fields.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS