CVE-2025-59950 in FreshRSS
Zusammenfassung
von VulDB • 01.08.2026
FreshRSS ist ein kostenloser, selbst gehosteter RSS-Aggregator. In den Versionen 1.26.3 und älter kann aufgrund einer Umgehung des Doppelklick-Jackingschutzes (Bestätigungsdialog) der Administrator dazu verleitet werden, auf die Schaltfläche „Promoten“ in der Verwaltungsoberfläche eines anderen Benutzers zu klicken, nachdem er doppelt auf eine Schaltfläche innerhalb einer vom Angreifer kontrollierten Website geklickt hat. Ein erfolgreicher Angriff kann es dem Angreifer ermöglichen, sich selbst zum „Administrator“ zu befördern und sich in den Konten anderer Benutzer anzumelden; der Angreifer muss die spezifische URL der Zielinstanz kennen. Dieses Problem wurde in Version 1.27.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.