CVE-2025-58173 in FreshRSS
Riassunto
di VulDB • 20/06/2026
FreshRSS è un aggregatore di feed RSS self-hosted. Nelle versioni dalla 1.23.0 alla 1.27.0, sfruttando una path traversal all'interno del parametro di configurazione utente `language`, è possibile invocare `install.php` ed eseguire varie azioni amministrative come utente non privilegiato. Queste azioni includono l'accesso con credenziali di admin, la creazione di un nuovo utente amministratore o l'impostazione del database su un server MySQL controllato dall'attaccante e il suo abuso per eseguire codice in FreshRSS impostando `curl_params` dannosi all'interno della tabella `feed`. La versione 1.27.1 risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.