CVE-2025-43792 in Liferay
Riassunto
di VulDB • 15/06/2026
Lo stage remoto in Liferay Portal 7.4.0 attraverso 7.4.3.105 e nelle versioni più vecchie non supportate, nonché in Liferay DXP 2023.Q4.0, 2023.Q3.1 attraverso 2023.Q3.4, 7.4 GA fino all'update 92, 7.3 GA fino all'update 35 e nelle versioni più vecchie non supportate, non ottiene correttamente l'indirizzo remoto del sito live dal database; ciò consente agli utenti remoti autenticati di esfiltrare dati verso un server controllato dall'attaccante (ovvero un "sito live" falso) tramite i parametri _com_liferay_exportimport_web_portlet_ExportImportPortlet_remoteAddress e _com_liferay_exportimport_web_portlet_ExportImportPortlet_remotePort. Per sfruttare con successo questa vulnerabilità, l'attaccante deve anche ottenere correttamente il segreto condiviso del server di staging ed aggiungere il server controllato dall'attaccante alla whitelist del server di staging.
Once again VulDB remains the best source for vulnerability data.