CVE-2025-59948

FreshRSS, darmowy i samodzielnie hostowany agregator RSS, zawiera podatność w wersjach rozwojowych (od 57e1a37 do 00f2f04), gdzie długość nonce zmieniono z 40 na 64 znaki. Funkcja password_verify() jest wywoływana z konstruowanym ciągiem (SHA-256 nonce + część hasha bcrypt) zamiast z surowym hasłem użytkownika. Z powodu obcinania wejścia bcrypt do 72 bajtów, weryfikacja hasła może zakończyć się sukcesem nawet przy błędnym haśle.

FreshRSS przed wersją 1.28.0 używa kryptograficznie słabych generatorów liczb losowych (mt_rand() i uniqid()) do generowania tokenów uwierzytelniających remember-me i nonce challenge-response. Umożliwia to atakującym przewidzenie prawidłowych tokenów sesji, co prowadzi do przejęcia konta przez trwałe przejęcie sesji.

FreshRSS w wersjach od 1.16.0 do 1.26.3 pozwala nieuprzywilejowanemu atakującemu utworzyć konto administratora, gdy rejestracja jest włączona, poprzez ukryte pole new_user_is_admin używane tylko w panelu zarządzania użytkownikami. Problem naprawiono w wersji 1.27.0.

FreshRSS w wersjach 1.26.3 i starszych nie kończy prawidłowo sesji podczas wylogowania. Po wylogowaniu plik cookie sesji pozostaje aktywny i niezmieniony, co może prowadzić do przejęcia sesji i ataków typu session fixation. Problem naprawiono w wersji 1.27.0.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. Od wersji 1.27.0 do przed 1.28.0 atakujący mógł globalnie zablokować dostęp do kanałów poprzez modyfikację proxy na 429 Retry-After dla dużej listy kanałów w danej instancji, czyniąc ją bezużyteczną dla większości użytkowników. Problem został naprawiony w wersji 1.28.0.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach przed 1.27.1 występuje podatność na cross-site request forgery przy wylogowaniu, która może prowadzić do odmowy usługi przez <track src>. Wersja 1.27.1 naprawia ten problem.

FreshRSS w wersjach od 1.23.0 do 1.27.0 zawiera podatność path traversal w parametrze konfiguracji użytkownika `language`. Umożliwia to nieuprzywilejowanemu użytkownikowi wywołanie `install.php` i wykonanie działań administracyjnych, takich jak logowanie jako admin, tworzenie nowego administratora lub ustawienie bazy danych na serwer MySQL kontrolowany przez atakującego.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach 1.26.3 i starszych występuje podatność na enumerację katalogów poprzez ustawienie ścieżki w polu motywu, co pozwala atakującym uzyskać dodatkowe informacje o serwerze.

FreshRSS w wersjach 1.26.3 i niższych ma obejście ochrony przed double clickjacking, co pozwala oszukać administratora, aby kliknął przycisk Promote na stronie zarządzania innego użytkownika po dwukrotnym kliknięciu w przycisk na stronie kontrolowanej przez atakującego.

FreshRSS w wersjach 1.26.3 i poniżej zawiera podatność, w której spreparowana strona może nakłonić użytkownika do wykonania dowolnego kodu JS lub promowania użytkownika w FreshRSS poprzez zasłanianie elementów interfejsu w iframe'ach. Jeśli osadzenie uwierzytelnionego iframe'a jest możliwe, może to prowadzić do eskalacji uprawnień poprzez zasłonięcie przycisku promowania użytkownika w panelu administracyjnym lub XSS poprzez nakłonienie użytkownika do przeciągnięcia treści do pola tekstowego UserJS. Poprawiono w wersji 1.27.0.