CVE-2025-62256
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Liferay Portal w wersjach 7.4.0 do 7.4.3.109 oraz Liferay DXP w wersjach 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.7, 7.4 GA do update 92, 7.3 GA do update 35 i starsze nieobsługiwane wersje nie ograniczają prawidłowo dostępu do OpenAPI w pewnych okolicznościach. Umożliwia to zdalnym atakującym dostęp do pliku OpenAPI YAML poprzez spreparowany URL.
Ocena ryzyka
Nieautoryzowany dostęp do pliku OpenAPI YAML może ujawnić szczegóły API, takie jak punkty końcowe i struktury danych, co może ułatwić dalsze ataki. Stanowi to naruszenie poufności i może prowadzić do eskalacji zagrożeń.
Rekomendacja
Należy zaktualizować Liferay Portal/DXP do wersji zawierającej poprawkę (np. najnowszej dostępnej) lub zastosować obejście polegające na ograniczeniu dostępu do OpenAPI. Zaleca się również przegląd konfiguracji bezpieczeństwa.
Inne podatności w Liferay Portal/DXP
Zobacz wszystkie- CVE-2025-43773Krytyczne
Liferay Portal w wersjach 7.4.0 do 7.4.3.132 oraz Liferay DXP w wymienionych wersjach ma podatność bezpieczeństwa umożliwiającą niewłaściwy dostęp poprzez expandoTableLocalService. Może to pozwolić na nieautoryzowany dostęp do danych lub funkcji.
- CVE-2025-62275Średnie
Blogi w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach nie sprawdzają uprawnień do obrazów we wpisie bloga. Umożliwia to zdalnym atakującym przeglądanie obrazów we wpisie bloga za pomocą spreparowanego adresu URL.
- CVE-2025-62261Średnie
Liferay Portal 7.4.0 do 7.4.3.99 oraz starsze nieobsługiwane wersje, a także Liferay DXP 2023.Q3.1 do 2023.Q3.4, 7.4 GA do update 92, 7.3 GA do update 34 i starsze nieobsługiwane wersje przechowują tokeny resetowania hasła w postaci jawnej. Umożliwia to atakującym z dostępem do bazy danych uzyskanie tokena, zresetowanie hasła użytkownika i przejęcie jego konta.
- CVE-2025-43763Średnie
W Liferay Portal 7.4.0 do 7.4.3.131 oraz Liferay DXP 2024.Q4.0 do 2024.Q4.7, 2024.Q3.0 do 2024.Q3.13, 2024.Q2.0 do 2024.Q2.13 i 2024.Q1.1 do 2024.Q1.20 występuje podatność typu server-side request forgery (SSRF) dotycząca pól załączników obiektów niestandardowych. Luka pozwala atakującemu zmusić aplikację do wykonywania nieautoryzowanych żądań do innych instancji i tworzenia nowych wpisów obiektów odwołujących się do zasobów zewnętrznych.
Oryginalny opis (angielski, źródło NVD)
Liferay Portal 7.4.0 through 7.4.3.109, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.7, 7.4 GA through update 92, 7.3 GA through update 35, and older unsupported versions does not properly restrict access to OpenAPI in certain circumstances, which allows remote attackers to access the OpenAPI YAML file via a crafted URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS