Към съдържанието
Търсене

CVE-2025-68402: FreshRSS, заобикаляне на вход и права

8.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

FreshRSS is a free, self-hostable RSS aggregator. From 57e1a37 - 00f2f04, the lengths of the nonce was changed from 40 chars to 64. password_verify() is currently being called with a constructed string (SHA-256 nonce + part of a bcrypt hash) instead of the raw user password. Due to bcrypt’s 72-byte input truncation, this causes password verification to succeed even when the user enters an incorrect password. This vulnerability is fixed in 1.27.2-dev (476e57b). The issue was only present in the edge branch and never in a stable release.

Засегнати продукти

  • FreshRSS FreshRSS: < 476e57b04646416e24e24c56133c9fadf9e52b95

Вид слабост

История

  • 9 март 2026 Публикувано

Други уязвимости в FreshRSS FreshRSS

Първоизточници

CVE-2025-68402: FreshRSS, заобикаляне на вход и права | freedomonline.bg