PT-2025-53609 · Freshrss · Freshrss

Hackerman70000 · Publicado 2025-12-26 · Atualizado 2026-01-01 · CVE-2025-68932

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do FreshRSS anteriores à 1.28.0

Descrição O FreshRSS utiliza geradores de números aleatórios fracos (mt rand() e uniqid()) para criar tokens de autenticação "lembrar-me" e nonces de desafio-resposta. Isso permite que atacantes prevejam tokens de sessão válidos, potencialmente levando à tomada de conta através de sequestro de sessão persistente. Os tokens "lembrar-me" fornecem autenticação permanente e são utilizados na funcionalidade "mantenha-me conectado".

Recomendações Atualize para a versão 1.28.0 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-338

Identificadores relacionados

CVE-2025-68932

GHSA-J9WC-GWC6-P786

Produtos afetados

Freshrss

Referências · 12

• 🔥 https://github.com/FreshRSS/FreshRSS/security/advisories/GHSA-j9wc-gwc6-p786 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68932.json · Exploit
• https://github.com/FreshRSS/FreshRSS/pull/8061 · Correção
• https://github.com/FreshRSS/FreshRSS/commit/57e1a375cbd2db9741ff19167813344f8eff5772 · Correção
• https://t.me/cveNotify/146927 · Publicação no Telegram
• https://twitter.com/cracbot/status/2006681851382084003 · Publicação no Twitter
• https://t.me/CVEtracker/40736 · Publicação no Telegram
• https://t.me/cveNotify/147405 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2004712189106483275 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2004868110340514039 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-68932 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-68932 · Aviso do Fabricante