CVE-2025-46339
Açıklama
FreshRSS, kendi sunucunuzda barındırılan bir RSS besleme toplayıcısıdır. Versiyon 1.26.2 öncesinde, belirli bir URL'yi, saldırgan tarafından kontrol edilen bir proxy ayarı ve devre dışı bırakılmış SSL doğrulaması ile besleme olarak ekleyerek besleme favicon'larını zehirlemek mümkündür. Favicon özeti; proxy adresi, proxy protokolü ve SSL'in doğrulanıp doğrulanmayacağı değişkenlerini dahil etmeden, besleme URL'si ve tuzun (salt) özetlenmesiyle hesaplanır. Bu nedenle, beslemenin yanıtını basitçe yakalayıp web sitesi URL'sini tehdit aktörünün besleme favicon'unu kontrol ettiği bir URL ile değiştirerek belirli bir beslemenin favicon'unu zehirlemek mümkündür. Besleme favicon'ları herkes tarafından tüm kullanıcılar için değiştirilebilir. Versiyon 1.26.2 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- freshrss freshrss1.26.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| freshrss freshrss | v < 1.26.2 | 1.26.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.