Skip to content
OpenAdvisories
Medium WID-SEC-2025-2256 4 CVEs

Liferay Portal und DXP: Mehrere Schwachstellen

Published Oct 12, 2025 · Updated Oct 12, 2025 · de-DE

Vendor: Liferay Product: DXP Product: Portal

Summary

Ein entfernter, authentisierter oder anonymer Angreifer kann mehrere Schwachstellen in Liferay Portal und Liferay DXP ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen und Daten zu manipulieren.

Product

Liferay Portal ist eine Open-Source-Webplattform für Unternehmen, die ein Framework für die Erstellung und Verwaltung von webbasierten Anwendungen und Inhalten bietet.
Liferay DXP (Digital Experience Platform) ist eine erweiterte und kommerziell unterstützte Version von Liferay Portal, die zusätzliche Funktionen und Dienste bietet.

Vulnerabilities 4

  • Medium 5.1
    CVE-2025-62245

    Liferay Portal is vulnerable to CSRF through publication comments

    Cross-site request forgery (CSRF) vulnerability in Liferay Portal 7.4.1 through 7.4.3.112, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.10, and 7.4 GA through update 92 allows remote attackers to add and edit publication comments.

    Liferay DXP Portal com.liferay:com.liferay.change.tracking.web Maven
  • Medium 4.8
    CVE-2025-62237

    Liferay Portal Commerce is vulnerable to XSS through account "name" field

    Stored cross-site scripting (XSS) vulnerability in Commerce’s view order page in Liferay Portal 7.4.3.8 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.8, and 7.4 update 8 through update 92 allows remote attackers to …

    Liferay DXP Portal com.liferay.commerce:com.liferay.commerce.order.web Maven
  • Medium 4.8
    CVE-2025-62238

    Liferay Portal's Membership page is vulnerable to XSS through “name“ text field

    Stored cross-site scripting (XSS) vulnerability on the Membership page in Account Settings in Liferay Portal 7.4.3.21 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.8, and 7.4 update 21 through update 92 allows remot…

    Liferay DXP Portal com.liferay:com.liferay.account.admin.web Maven
  • Medium 4.6
    CVE-2025-62239

    Liferay Portal is vulnerable to XSS through its workflow process builder

    Cross-site scripting (XSS) vulnerability in workflow process builder in Liferay Portal 7.4.3.21 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.5, 2023.Q3.1 through 2023.Q3.8, and 7.4 update 21 through update 92 allows remote authenticated attack…

    Liferay DXP Portal com.liferay:com.liferay.portal.workflow.kaleo.designer.web Maven

Revision history

  1. #1

    Initiale Fassung

References