CVE-2025-62259
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Liferay Portal w wersjach 7.4.0 do 7.4.3.109 oraz w Liferay DXP w określonych wersjach nie ograniczono dostępu do API przed weryfikacją adresu e-mail użytkownika. Zdalni użytkownicy mogą uzyskać dostęp do API i edytować treści bez potwierdzenia adresu e-mail.
Ocena ryzyka
Atakujący może utworzyć konto z niezweryfikowanym adresem e-mail i uzyskać dostęp do API w celu odczytu lub modyfikacji treści, co może prowadzić do naruszenia integralności danych. Ryzyko dotyczy organizacji korzystających z podatnych wersji Liferay.
Rekomendacja
Zaktualizuj Liferay Portal i Liferay DXP do wersji zawierających poprawkę dla CVE-2025-62259. Do czasu aktualizacji rozważ ograniczenie dostępu do API dla kont z niezweryfikowanym adresem e-mail.
Inne podatności w Liferay Portal and Liferay DXP
Zobacz wszystkie- CVE-2025-43816Wysokie
Wyciek pamięci w API headless dla StructuredContents w Liferay Portal (wersje 7.4.0 do 7.4.3.119 i starsze) oraz Liferay DXP (wersje 2024.Q1.1 do 2024.Q1.5, 2023.Q4.0 do 2024.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starsze) pozwala atakującemu na wielokrotne wywoływanie punktu końcowego API, co prowadzi do niedostępności serwera (denial of service).
- CVE-2025-43790Wysokie
Podatność Insecure Direct Object Reference (IDOR) w Liferay Portal (wersje 7.4.0 do 7.4.3.124) oraz Liferay DXP (wersje 2024.Q2.0 do 2024.Q2.6, 2024.Q1.1 do 2024.Q1.12, 7.4 GA do update 92) pozwala zdalnym uwierzytelnionym użytkownikom na dostęp, tworzenie, edycję i powiązanie danych/obiektów z jednej wirtualnej instancji z obiektem w innej wirtualnej instancji.
Oryginalny opis (angielski, źródło NVD)
Liferay Portal 7.4.0 through 7.4.3.109, and older unsupported versions, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA through update 35, and older unsupported versions does not limit access to APIs before a user has verified their email address, which allows remote users to access and edit content via the API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS