CVE-2025-68148
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
FreshRSS to darmowy, samodzielnie hostowany agregator RSS. Od wersji 1.27.0 do przed 1.28.0 atakujący mógł globalnie zablokować dostęp do kanałów poprzez modyfikację proxy na 429 Retry-After dla dużej listy kanałów w danej instancji, czyniąc ją bezużyteczną dla większości użytkowników. Problem został naprawiony w wersji 1.28.0.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego spowodowania niedostępności usługi dla wszystkich użytkowników, co może prowadzić do przerw w działaniu i utraty zaufania.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie FreshRSS do wersji 1.28.0 lub nowszej oraz monitorowanie konfiguracji proxy.
Inne podatności w FreshRSS
Zobacz wszystkie- CVE-2025-68402Wysokie
FreshRSS, darmowy i samodzielnie hostowany agregator RSS, zawiera podatność w wersjach rozwojowych (od 57e1a37 do 00f2f04), gdzie długość nonce zmieniono z 40 na 64 znaki. Funkcja password_verify() jest wywoływana z konstruowanym ciągiem (SHA-256 nonce + część hasha bcrypt) zamiast z surowym hasłem użytkownika. Z powodu obcinania wejścia bcrypt do 72 bajtów, weryfikacja hasła może zakończyć się sukcesem nawet przy błędnym haśle.
- CVE-2025-68932Krytyczne
FreshRSS przed wersją 1.28.0 używa kryptograficznie słabych generatorów liczb losowych (mt_rand() i uniqid()) do generowania tokenów uwierzytelniających remember-me i nonce challenge-response. Umożliwia to atakującym przewidzenie prawidłowych tokenów sesji, co prowadzi do przejęcia konta przez trwałe przejęcie sesji.
- CVE-2025-59949Średnie
FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach przed 1.27.1 występuje podatność na cross-site request forgery przy wylogowaniu, która może prowadzić do odmowy usługi przez <track src>. Wersja 1.27.1 naprawia ten problem.
Oryginalny opis (angielski, źródło NVD)
FreshRSS is a free, self-hostable RSS aggregator. From version 1.27.0 to before 1.28.0, An attacker could globally deny access to feeds via proxy modifying to 429 Retry-After for a large list of feeds on given instance, making it unusable for majority of users. This issue has been patched in version 1.28.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS