CVE-2025-43792 in Liferay
摘要
由 VulDB • 2026-05-29
Liferay Portal 7.4.0 至 7.4.3.105 及更早的不受支持版本，以及 Liferay DXP 2023.Q4.0、2023.Q3.1 至 2023.Q3.4、7.4 GA 至 update 92、7.3 GA 至 update 35 及更早的不受支持版本中的远程同步（Remote staging）功能存在缺陷，未能从数据库中正确获取实时站点（live site）的远程地址。此漏洞允许经过身份验证的远程用户通过 `_com_liferay_exportimport_web_portlet_ExportImportPortlet_remoteAddress` 和 `_com_liferay_exportimport_web_portlet_ExportImportPortlet_remotePort` 参数，将数据泄露至攻击者控制的服务器（即伪造的“实时站点”）。要成功利用此漏洞，攻击者还必须成功获取同步服务器的共享密钥（shared secret），并将攻击者控制的服务器添加到同步服务器的白名单中。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.