CVE-2025-54875 in FreshRSS

Résumé

par VulDB • 03/06/2026

FreshRSS est un agrégateur RSS gratuit et auto-hébergeable. Dans les versions 1.16.0 à 1.26.3, un attaquant non privilégié peut créer un nouvel utilisateur administrateur lorsque l'inscription est activée, en exploitant un champ caché utilisé uniquement sur la page d'administration de la gestion des utilisateurs, nommé new_user_is_admin. Ce problème est corrigé dans la version 1.27.0.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: GitHub M
• Réserver: 31/07/2025
• Divulgation: 30/09/2025
• Modérer: accepté
• Entrée: VDB-326348
• CPE: prêt
• CWE: CWE-284 (confirmé)
• CVSS: 9.8 (CNA)
• EPSS: 0.00495
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-54875
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-54875
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-54875/