جزئیات آسیب‌پذیری
CVE-2025-62166
FreshRSS FreshRSS
FreshRSS has an IDOR which allows for viewing feeds of any user and leaking tokens
CVSS 3.1
7.5بالا
شرح رسمی (انگلیسی)
FreshRSS is a free, self-hostable RSS aggregator. Prior 1.28.0, a bug in the auth logic related to master authentication tokens, this restriction is bypassed. Usually only the default user's feed should be viewable if anonymous viewing is enabled, and feeds of other users should be private. This vulnerability is fixed in 1.28.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| FreshRSS | FreshRSS | < 1.28.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/FreshRSS/FreshRSS/security/advisories/GHSA-w743-fg6g-mhwh x_refsource_CONFIRM
- https://github.com/FreshRSS/FreshRSS/pull/8165 x_refsource_MISC
- https://github.com/FreshRSS/FreshRSS/commit/60cf5ea297a17db861e73cd65d7b7862bd6bcc24 x_refsource_MISC
- https://github.com/FreshRSS/FreshRSS/releases/tag/1.28.0 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۲/۱۸
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۲/۱۹
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۳٪
احتمال بهره‌برداری در ۳۰ روز
۳۷٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-284Improper Access Control
- CWE-639Authorization Bypass Through User-Controlled Key