CVE-2025-32015

FreshRSS, kendi sunucunuzda barındırabileceğiniz bir RSS besleme toplayıcıdır. Versiyon 1.26.2 öncesinde, `<iframe srcdoc>` özniteliği içindeki HTML uygun şekilde temizlenmemektedir; bu durum, `<script src>` içinde saldırganın UserJS dosyasının yüklenmesiyle siteler arası betik çalıştırmaya (XSS) yol açmaktadır. Saldırıyı gerçekleştirmek için saldırganın, kurbanın beslemelerinden birini kontrol etmesi ve kurbanın kullandığı FreshRSS örneğinde bir hesaba sahip olması gerekir. Bir saldırgan, bu zafiyeti istismar ederek kurbanın hesabına erişim sağlayabilir. Kurban bir yöneticiyse, tüm kullanıcıları silmek (zarar vermek) veya XSS aracılığıyla fetch() kullanarak güncelleme URL'sini değiştirip sunucu üzerinde rastgele kod çalıştırmak mümkün olabilir. Versiyon 1.26.2, bu sorun için bir yama içermektedir.