CVE-2025-68932
Təsvir
FreshRSS pulsuz və öz serverində quraşdırıla bilən RSS aqreqatordur. Versiya 1.28.0-dan əvvəl FreshRSS "remember-me" autentifikasiya tokenlərini və challenge-response nonce-larını yaratmaq üçün kriptoqrafik cəhətdən zəif təsadüfi ədəd generatorlarından (mt_rand() və uniqid()) istifadə edir. Bu, hücumçulara etibarlı sessiya tokenlərini proqnozlaşdırmağa imkan verir ki, bu da davamlı sessiyanın ələ keçirilməsi vasitəsilə hesabların ələ keçirilməsinə səbəb olur. "Remember-me" tokenləri daimi autentifikasiya təmin edir və "sessiyamı açıq saxla" funksionallığı üçün yeganə etibarlılıq vasitəsidir. Bu problem versiya 1.28.0-da aradan qaldırılmışdır.
Necə düzəltmək olar
- freshrss freshrss1.28.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| freshrss freshrss | v < 1.28.0 | 1.28.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.