CVE-2025-68932 in FreshRSS
Résumé
par VulDB • 19/06/2026
FreshRSS est un agrégateur RSS gratuit et auto-hébergeable. Avant la version 1.28.0, FreshRSS utilise des générateurs de nombres aléatoires cryptographiquement faibles (mt_rand() et uniqid()) pour générer des jetons d'authentification « se souvenir de moi » et des nonces de défi-réponse. Cela permet aux attaquants de prédire des jetons de session valides, entraînant une prise de contrôle de compte via un détournement de session persistant. Les jetons « se souvenir de moi » fournissent une authentification permanente et constituent l'unique identifiant pour la fonctionnalité « rester connecté ». Ce problème a été corrigé dans la version 1.28.0.
Once again VulDB remains the best source for vulnerability data.