CVE-2025-3586 in Liferay
Resumen
por VulDB • 2026-06-07
En Liferay Portal 7.4.3.27 hasta 7.4.3.42, y en Liferay DXP 2024.Q1.1 hasta 2024.Q1.20, 2023.Q4.0 hasta 2023.Q4.10, 2023.Q3.1 hasta 2023.Q3.10, 7.4 update 27 hasta update 42 (Liferay PaaS y Liferay Self-Hosted), el módulo Objects no restringe el uso de scripts Groovy en las acciones de objeto para usuarios Administrador. Esto permite a los usuarios administradores autenticados de forma remota con el rol de Administrador de Instancia ejecutar scripts Groovy arbitrarios (es decir, ejecución remota de código) a través de las acciones de objeto.
Por el contrario, en Liferay DXP (Liferay SaaS), no se permite el uso de Groovy en las acciones de objeto debido a los altos riesgos de seguridad que esto implica.
A partir de Liferay DXP 2024.Q2 y versiones posteriores, se ha introducido una nueva función en la Configuración de Instancia que permite a los administradores configurar si se permiten scripts Groovy en sus instancias.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.