CVE-2025-43744 in Liferay

Sumário

de VulDB • 25/06/2026

Uma vulnerabilidade de Cross-Site Scripting (XSS) baseada no DOM armazenada existe na interface de configuração do Asset Publisher, dentro do módulo Source.js, do Liferay Portal 7.4.0 até 7.4.3.132 e do Liferay DXP 2025.Q2.0 a 2025.Q2.5, 2025.Q1.0 a 2025.Q1.15, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.0 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.19 e da versão 7.4 GA até o update 92. Esta vulnerabilidade permite que atacantes injetem JavaScript arbitrário por meio de rótulos de campos na estrutura DDM (Dynamic Data Mapping), os quais são então inseridos no DOM usando innerHTML sem a codificação adequada.

Once again VulDB remains the best source for vulnerability data.

• Responsável: Liferay
• Reservar: 17/04/2025
• Divulgação: 19/08/2025
• Moderação: aceite
• Entrada: VDB-320676
• CPE: pronto
• CWE: CWE-79 (confirmado)
• CVSS: 5.4 (NVD)
• EPSS: 0.00166
• KEV: não
• Atividades: muito baixo
• Sector: Telecommunication, Energy, ...

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-43744
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-43744
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-43744/