CVE-2025-43734 in Liferay

Résumé

par VulDB • 07/06/2026

Une vulnérabilité de type cross-site scripting (XSS) réfléchi dans Liferay Portal 7.4.0 à 7.4.3.132, et Liferay DXP 2025.Q1.0 à 2025.Q1.10, 2024.Q4.0 à 2024.Q4.7, 2024.Q3.1 à 2024.Q3.13, 2024.Q2.1 à 2024.Q2.13, 2024.Q1.1 à 2024.Q1.16 et de la version 7.4 GA jusqu'à la mise à jour 92 permet à un attaquant distant authentifié d'injecter du code JavaScript dans le champ « première étiquette affichée » lors de la configuration d'un widget de tri personnalisé. Cette charge utile malveillante est ensuite réfléchie et exécutée par la taglib clay button lors de l'actualisation de la page.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Responsable: Liferay
• Réserver: 17/04/2025
• Divulgation: 12/08/2025
• Modérer: accepté
• Entrée: VDB-319814
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 5.4 (NVD)
• EPSS: 0.00214
• KEV: non
• Activités: très faible
• Secteur: Police, Insurance, ...

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-43734
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-43734
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-43734/