Към съдържанието
Търсене

CVE-2025-58173: FreshRSS, обхождане на път

7.4

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

FreshRSS is a self-hosted RSS feed aggregator. In versions 1.23.0 through 1.27.0, using a path traversal inside the `language` user configuration parameter, it's possible to call `install.php` and perform various administrative actions as an unprivileged user. These actions include logging in as the admin, creating a new admin user, or set the database to an attacker-controlled MySQL server and abuse it to execute code in FreshRSS by setting malicious feed `curl_params` inside the `feed` table. Version 1.27.1 fixes the issue.

Засегнати продукти

  • FreshRSS FreshRSS: >= 1.23.0, < 1.27.1

Вид слабост

История

  • 15 декември 2025 Публикувано

Други уязвимости в FreshRSS FreshRSS

Първоизточници

CVE-2025-58173: FreshRSS, обхождане на път | freedomonline.bg