PT-2025-23855 · Freshrss · Freshrss

Inverle · Publicado 2025-06-04 · Atualizado 2025-06-04 · CVE-2025-46339

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do FreshRSS anteriores à 1.26.2

Descrição A falha permite que um atacante envenene os favicons do feed manipulando a URL do feed e as configurações de proxy, potencialmente substituindo os favicons de todos os usuários. Isso é possível porque o cálculo do hash do favicon não inclui o endereço do proxy, o protocolo do proxy e as configurações de verificação SSL. Um atacante pode interceptar a resposta do feed e alterar a URL do site para um favicon de feed controlado.

Recomendações Para versões anteriores à 1.26.2, atualize para a versão 1.26.2 para resolver a falha. Como medida de contorno, considere restringir o acesso às configurações de proxy e garantir que a verificação SSL esteja habilitada para todos os feeds. Evite usar o recurso de proxy com feeds não confiáveis até que a falha seja resolvida.

Exploit

Correção

Enumeração de Fraquezas

CWE-349

Identificadores relacionados

CVE-2025-46339

GHSA-8F79-3Q3W-43C4

Produtos afetados

Freshrss

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/46xxx/CVE-2025-46339.json · Exploit
• https://github.com/FreshRSS/FreshRSS/commit/3776e1e48f33e80eb4b674bb64b419caf3b5a4e2 · Correção
• https://github.com/FreshRSS/FreshRSS/security/advisories/GHSA-8f79-3q3w-43c4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-46339 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-46339 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1930361392047239294 · Publicação no Twitter
• https://t.me/cvetracker/25438 · Publicação no Telegram