CVE-2025-31136 in FreshRSS
Riassunto
di VulDB • 23/06/2026
FreshRSS è un aggregatore di feed RSS self-hosted. Prima della versione 1.26.2, è possibile eseguire JavaScript arbitrario nella pagina dei feed. Ciò avviene combinando una vulnerabilità cross-site scripting (XSS) presente in `f.php` quando vengono scaricati favicon SVG da un feed controllato dall'attaccante contenente tag `` non sanificati al loro interno, con la mancanza di CSP (Content Security Policy) in `f.php`, inserendo il favicon malevolo in un iframe (con l'attributo impostato su `sandbox="allow-scripts allow-same-origin"`). Un attaccante deve controllare uno dei feed a cui è iscritta la vittima e disporre inoltre di un account sull'istanza FreshRSS. A parte questo, il payload dell'iframe può essere incorporato in due modi diversi. Il primo payload richiede l'interazione con l'utente (il clic della vittima sulla voce del feed malevolo) con le impostazioni predefinite, mentre il secondo payload si attiva istantaneamente subito dopo che l'utente aggiunge il feed o accede all'account, purché la voce del feed sia ancora visibile. Questo è dovuto alla funzionalità di caricamento differito delle immagini (lazy image loading), aggirata dal secondo payload. Un attaccante può ottenere l'accesso all'account della vittima sfruttando questa vulnerabilità. Se la vittima è un amministratore, sarebbe possibile eliminare tutti gli utenti (causare danni) o eseguire codice arbitrario sul server modificando l'URL di aggiornamento tramite fetch() attraverso l'XSS. La versione 1.26.2 include una patch per risolvere il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.