一、 漏洞 CVE-2025-43772 基础信息
漏洞信息
# N/A
## 概述
Kaleo Forms Admin模块在Liferay Portal和Liferay DXP的多个版本中存在安全隐患，未限制将请求参数保存至portlet会话，攻击者可借此消耗服务器内存，导致拒绝服务（DoS）。
## 影响版本
- **Liferay Portal**: 7.0.0 至 7.4.3.4
- **Liferay DXP**: 7.4 GA、7.3 GA 至 update 27 以及更旧的不受支持版本
## 细节
Kaleo Forms Admin未对HTTP请求中的参数进行限制，允许将任意参数保存到portlet的会话中。远程攻击者可通过发送精心构造的HTTP请求，使服务器在会话中存储大量无用数据，从而逐步耗尽系统内存。
## 影响
通过持续发送恶意请求，攻击者可导致服务器内存耗尽，最终引发拒绝服务（DoS），使正常用户无法访问系统资源。
神龙判断
是否为 Web 类漏洞： 是
判断理由：
是。这个漏洞存在于Liferay Portal和Liferay DXP的Kaleo Forms Admin组件中，由于该组件未能限制保存在portlet会话中的请求参数，导致远程攻击者可以通过构造的HTTP请求消耗系统内存，进而引发拒绝服务（DoS）条件。因此，这是一个服务端的漏洞。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Kaleo Forms Admin in Liferay Portal 7.0.0 through 7.4.3.4, and Liferay DXP 7.4 GA, 7.3 GA through update 27, and older unsupported versions does not restrict the saving of request parameters in the portlet session, which allows remote attackers to consume system memory leading to denial-of-service (DoS) conditions via crafted HTTP request.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
未加控制的资源消耗(资源穷尽)
来源：美国国家漏洞数据库 NVD
漏洞标题
Liferay Portal和Liferay DXP 资源管理错误漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Liferay Portal和Liferay DXP都是美国Liferay公司的产品。Liferay Portal是一套基于J2EE的门户解决方案。该方案使用了EJB以及JMS等技术，并可作为Web发布和共享工作区、企业协作平台、社交网络等。Liferay DXP是一套数字化体验协作平台。 Liferay Portal和Liferay DXP存在资源管理错误漏洞，该漏洞源于未限制端口会话中请求参数的保存，可能导致拒绝服务攻击。以下版本受到影响：Liferay Portal 7.0.0至7.4.3.4版本和
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
资源管理错误
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-43772 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-43772 的情报信息
标题： CVE-2025-43772 DoS vulnerability in Kaleo Forms Admin - Liferay -- 🔗来源链接
标签：
神龙速读：### 关键漏洞信息 #### 漏洞编号 CVE-2025-43772 #### 漏洞描述 Kaleo Forms Admin 在 Liferay Portal 和 Liferay DXP 中不对端口会话中的请求参数保存进行限制，允许远程攻击者通过精心设计的 HTTP 请求消耗系统内存，导致拒绝服务（DoS）条件。 #### 严重性 7.1 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N) #### 影响版本 - Liferay DXP 7.4 GA - Liferay DXP 7.3 GA 至更新 27 - Liferay DXP 7.2 - Liferay DXP 7.1 - Liferay DXP 7.0 - Liferay Kaleo Forms 2.x #### 修复版本 - Liferay Portal 7.4.3.5 - Liferay DXP 7.4 更新 1 - Liferay DXP 7.3 更新 28 #### 发布日期 2024 年 10 月 4 日 14:17:00 +0000
- https://nvd.nist.gov/vuln/detail/CVE-2025-43772
四、漏洞 CVE-2025-43772 的评论
暂无评论