CVE-2025-61586

FreshRSS, darmowy i samodzielnie hostowany agregator RSS, zawiera podatność w wersjach rozwojowych (od 57e1a37 do 00f2f04), gdzie długość nonce zmieniono z 40 na 64 znaki. Funkcja password_verify() jest wywoływana z konstruowanym ciągiem (SHA-256 nonce + część hasha bcrypt) zamiast z surowym hasłem użytkownika. Z powodu obcinania wejścia bcrypt do 72 bajtów, weryfikacja hasła może zakończyć się sukcesem nawet przy błędnym haśle.

FreshRSS przed wersją 1.28.0 używa kryptograficznie słabych generatorów liczb losowych (mt_rand() i uniqid()) do generowania tokenów uwierzytelniających remember-me i nonce challenge-response. Umożliwia to atakującym przewidzenie prawidłowych tokenów sesji, co prowadzi do przejęcia konta przez trwałe przejęcie sesji.

FreshRSS w wersjach od 1.16.0 do 1.26.3 pozwala nieuprzywilejowanemu atakującemu utworzyć konto administratora, gdy rejestracja jest włączona, poprzez ukryte pole new_user_is_admin używane tylko w panelu zarządzania użytkownikami. Problem naprawiono w wersji 1.27.0.

FreshRSS w wersjach 1.26.3 i starszych nie kończy prawidłowo sesji podczas wylogowania. Po wylogowaniu plik cookie sesji pozostaje aktywny i niezmieniony, co może prowadzić do przejęcia sesji i ataków typu session fixation. Problem naprawiono w wersji 1.27.0.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. Od wersji 1.27.0 do przed 1.28.0 atakujący mógł globalnie zablokować dostęp do kanałów poprzez modyfikację proxy na 429 Retry-After dla dużej listy kanałów w danej instancji, czyniąc ją bezużyteczną dla większości użytkowników. Problem został naprawiony w wersji 1.28.0.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach przed 1.27.1 występuje podatność na cross-site request forgery przy wylogowaniu, która może prowadzić do odmowy usługi przez <track src>. Wersja 1.27.1 naprawia ten problem.

FreshRSS w wersjach od 1.23.0 do 1.27.0 zawiera podatność path traversal w parametrze konfiguracji użytkownika `language`. Umożliwia to nieuprzywilejowanemu użytkownikowi wywołanie `install.php` i wykonanie działań administracyjnych, takich jak logowanie jako admin, tworzenie nowego administratora lub ustawienie bazy danych na serwer MySQL kontrolowany przez atakującego.

FreshRSS w wersjach 1.26.3 i niższych ma obejście ochrony przed double clickjacking, co pozwala oszukać administratora, aby kliknął przycisk Promote na stronie zarządzania innego użytkownika po dwukrotnym kliknięciu w przycisk na stronie kontrolowanej przez atakującego.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach 1.26.3 i starszych nie sanityzuje niektórych atrybutów obsługi zdarzeń w treści kanałów, co umożliwia wykonanie ładunku XSS, jeśli znajdzie się stronę renderującą wpisy bez CSP. Wymaga to wcześniejszego włączenia ustawienia Allow API access przez administratora. Możliwe jest przejęcie konta poprzez zmianę hasła, ustawienie UserJS, kradzież autouzupełnianego hasła lub wyświetlenie strony phishingowej. Jeśli ofiarą jest administrator, atakujący może wykonywać działania administracyjne. Problem naprawiono w wersji 1.27.0.

FreshRSS w wersjach 1.26.3 i poniżej zawiera podatność, w której spreparowana strona może nakłonić użytkownika do wykonania dowolnego kodu JS lub promowania użytkownika w FreshRSS poprzez zasłanianie elementów interfejsu w iframe'ach. Jeśli osadzenie uwierzytelnionego iframe'a jest możliwe, może to prowadzić do eskalacji uprawnień poprzez zasłonięcie przycisku promowania użytkownika w panelu administracyjnym lub XSS poprzez nakłonienie użytkownika do przeciągnięcia treści do pola tekstowego UserJS. Poprawiono w wersji 1.27.0.