CVE-2025-68402
Açıklama
FreshRSS ücretsiz ve kendi sunucunuzda barındırabileceğiniz bir RSS toplayıcıdır. 57e1a37 - 00f2f04 sürümleri arasında, nonce uzunluğu 40 karakterden 64 karaktere çıkarılmıştır. password_verify() fonksiyonu şu anda ham kullanıcı parolası yerine oluşturulmuş bir dizeyle (SHA-256 nonce + bcrypt özetinin bir kısmı) çağrılmaktadır. bcrypt'in 72 baytlık girdi kırpma özelliği nedeniyle bu durum, kullanıcı yanlış parola girse bile parola doğrulamasının başarılı olmasına yol açmaktadır. Bu güvenlik açığı 1.27.2-dev (476e57b) sürümünde giderilmiştir. Sorun yalnızca edge dalında mevcuttu ve hiçbir zaman kararlı bir sürümde yer almadı.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FreshRSS FreshRSS | < 476e57b04646416e24e24c56133c9fadf9e52b95 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.