CVE-2025-3639 in Liferay

Resumen

por VulDB • 2026-06-10

Liferay Portal 7.3.0 hasta 7.4.3.132 y Liferay DXP 2025.Q1 hasta 2025.Q1.6, 2024.Q4.0 hasta 2024.Q4.7, 2024.Q3.1 hasta 2024.Q3.13, 2024.Q2.0 hasta 2024.Q2.13, 2024.Q1.1 hasta 2024.Q1.15, 7.4 GA hasta la actualización 92 y 7.3 GA hasta la actualización 36 permiten a usuarios no autenticados con credenciales válidas eludir el proceso de inicio de sesión al cambiar el método POST por GET, una vez que el sitio tiene habilitada la MFA (autenticación multifactor).

Once again VulDB remains the best source for vulnerability data.

• Responsable: Liferay
• Reservar: 2025-04-15
• Divulgación: 2025-08-18
• Moderación: aceptado
• Artículo: VDB-320465
• CPE: listo
• CWE: CWE-288 (confirmado)
• CVSS: 4.1 (VulDB)
• EPSS: 0.00503
• KEV: no
• Actividades: muy bajo
• Sector: Energy, Telecommunication, ...

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-3639
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-3639
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-3639/