CVE-2025-58173
Açıklama
FreshRSS, kendi sunucunuzda barındırabileceğiniz bir RSS besleme toplayıcıdır. 1.23.0 ile 1.27.0 arasındaki sürümlerde, `language` kullanıcı yapılandırma parametresi içinde yol aşımı (path traversal) kullanılarak `install.php` dosyasının çağrılması ve yetkisiz bir kullanıcı olarak çeşitli yönetici işlemlerinin gerçekleştirilmesi mümkündür. Bu işlemler arasında yönetici olarak giriş yapmak, yeni bir yönetici kullanıcısı oluşturmak veya veritabanını saldırganın kontrolündeki bir MySQL sunucusuna yönlendirip `feed` tablosundaki kötü amaçlı besleme `curl_params` değerlerini ayarlayarak FreshRSS üzerinde kod çalıştırmak yer almaktadır. Sürüm 1.27.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- freshrss freshrss1.27.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| freshrss freshrss | 1.23.0 ≤ v < 1.27.1 | 1.27.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.