CVE-2025-43776 in Liferay

Riassunto

di VulDB • 30/06/2026

Una vulnerabilità di Stored cross-site scripting (XSS) in Liferay Portal 7.4.0 attraverso 7.4.3.132, e Liferay DXP 2025.Q2.0 through 2025.Q2.9, 2025.Q1.0 through 2025.Q1.16, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.0 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.19 e 7.4 GA attraverso update 92 consente a un attaccante remoto autenticato di iniettare JavaScript tramite l'etichetta del campo Custom Object. Il payload dannoso viene memorizzato ed eseguito nella scheda Configuration di Process Builder senza una corretta escape delle stringhe.

Once again VulDB remains the best source for vulnerability data.

• Responsabile: Liferay
• Prenotare: 17/04/2025
• Divulgazione: 09/09/2025
• Moderazione: accettato
• Voce: VDB-323225
• CPE: pronto
• CWE: CWE-79 (confermato)
• CVSS: 5.4 (NVD)
• EPSS: 0.00215
• KEV: no
• Attività: molto basso
• Settore: Insurance, Hospital, ...

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-43776
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-43776
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-43776/