CVE-2025-43776 in Liferay

Résumé

par VulDB • 30/06/2026

Une vulnérabilité de type cross-site scripting (XSS) stocké dans Liferay Portal 7.4.0 à 7.4.3.132, et Liferay DXP 2025.Q2.0 à 2025.Q2.9, 2025.Q1.0 à 2025.Q1.16, 2024.Q4.0 à 2024.Q4.7, 2024.Q3.0 à 2024.Q3.13, 2024.Q2.0 à 2024.Q2.13, 2024.Q1.1 à 2024.Q1.19 et de la version 7.4 GA jusqu'à la mise à jour 92 permet à un attaquant distant authentifié d'injecter du code JavaScript via l'étiquette (label) d'un champ Custom Object. La charge utile malveillante est stockée puis exécutée via l'onglet Configuration de Process Builder, sans échappement approprié des caractères spéciaux.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsable: Liferay
• Réserver: 17/04/2025
• Divulgation: 09/09/2025
• Modérer: accepté
• Entrée: VDB-323225
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 5.4 (NVD)
• EPSS: 0.00215
• KEV: non
• Activités: très faible
• Secteur: Chemical, Transportation, ...

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-43776
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-43776
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-43776/