Liferay Portal JSON Web Services Direct Class Invocation Enables Service Access Policy Execution

中 5.3CVE-2025-43789 · GHSA-q86r-gwqc-jx85 · 12/09/2025 公開 · 18/10/2026 更新

要点

CVE-2025-43789 は com.liferay:com.liferay.comment.web, digital experience platform (liferay), liferay portal (liferay) に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.22%（全脆弱性の 12.1% より高い）。
対処：6.1.4, 2024.Q1.10, 7.4.3.120 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.liferay:com.liferay.comment.web Maven	`≥ 6.0.2, < 6.1.4`	`6.1.4`
digital experience platform liferay	`= 7.4≥ 2024.Q1.1, < 2024.Q1.10`	`2024.Q1.10`
liferay portal liferay	`≥ 7.4.0, < 7.4.3.120`	`7.4.3.120`

概要

JSON Web Services in Liferay Portal 7.4.0 through 7.4.3.119, and Liferay DXP 2024.Q1.1 through 2024.Q1.9, 7.4 GA through update 92 published to OSGi are registered and invoked directly as classes which allows Service Access Policies to get executed.

NVD の説明