Liferay Portal Vulnerable to Cross-Site Scripting via backURL Paramter

中 5.4CVE-2025-43737 · GHSA-vjwr-cqwf-6q96 · 19/08/2025 公開 · 17/06/2026 更新

要点

CVE-2025-43737 は com.liferay:com.liferay.journal.web, digital experience platform (liferay), liferay portal (liferay) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.29%（全脆弱性の 21.1% より高い）。
対処：5.0.196, 2025.Q1.16, 2025.Q2.9 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.liferay:com.liferay.journal.web Maven	`< 5.0.196`	`5.0.196`
digital experience platform liferay	`≥ 2025.Q1.0, < 2025.Q1.16≥ 2025.Q2.0, < 2025.Q2.9`	`2025.Q1.162025.Q2.9`
liferay portal liferay	`≥ 7.4.0, ≤ 7.4.3.132`	修正版なし

概要

A reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.Q2.8 and 2025.Q1.0 through 2025.Q1.15 allows a remote authenticated user to inject JavaScript code via _com_liferay_journal_web_portlet_JournalPortlet_backURL parameter.

NVD の説明