PT-2025-31676 · Freshrss · Freshrss

Inverle · Publicado 2025-08-01 · Atualizado 2025-08-01 · CVE-2025-54593

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas FreshRSS versões 1.26.1 e inferiores

Descrição O FreshRSS é um agregador de RSS gratuito e auto-hospedável. Um usuário administrador autenticado pode executar código arbitrário no servidor FreshRSS ao modificar a URL de atualização para uma sob seu controle, obtendo execução de código após realizar uma atualização. A execução bem-sucedida de código pode levar à exfiltração de dados do usuário, incluindo senhas com hash, e à potencial desfiguração da instância. Código malicioso pode ser inserido para roubar senhas em texto simples.

Recomendações Atualize para a versão 1.26.2 ou posterior.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-54593

GHSA-JCWW-48G9-WF57

Produtos afetados

Freshrss

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54593.json · Exploit
• https://github.com/FreshRSS/FreshRSS/commit/dbdadbb4107878d9233f635c31a88afe45957101 · Nota
• https://github.com/FreshRSS/FreshRSS/security/advisories/GHSA-jcww-48g9-wf57 · Nota
• https://github.com/FreshRSS/FreshRSS/pull/7477 · Nota
• https://github.com/FreshRSS/FreshRSS/releases/tag/1.26.2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-54593 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-54593 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1951355935198175640 · Publicação no Twitter