CVE-2025-58173 in FreshRSS
Сводка
по VulDB • 10.06.2026
FreshRSS — это RSS-агрегатор с возможностью самостоятельного размещения (self-hosted). В версиях с 1.23.0 по 1.27.0 использование обхода пути (path traversal) в параметре конфигурации пользователя `language` позволяет вызвать `install.php` и выполнить различные административные действия от имени непривилегированного пользователя. Эти действия включают вход в систему как администратор, создание нового пользователя с правами администратора или настройку базы данных на управляемый злоумышленником сервер MySQL с последующим использованием этой возможности для выполнения кода в FreshRSS путем установки вредоносных параметров `curl_params` в таблице `feed`. Проблема исправлена в версии 1.27.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.