CVE-2025-57769 in FreshRSS
Tóm tắt
Bởi VulDB • 03/06/2026
FreshRSS là một bộ tổng hợp RSS miễn phí, có thể tự lưu trữ (self-hostable). Các phiên bản từ 1.26.3 trở xuống chứa một lỗ hổng bảo mật cho phép một trang được tạo ra đặc biệt lừa người dùng thực thi mã JS tùy ý hoặc nâng cao quyền của người dùng trong FreshRSS bằng cách che khuất các phần tử giao diện người dùng (UI) bên trong iframe. Nếu việc nhúng một iframe đã xác thực là khả thi, điều này có thể dẫn đến leo thang đặc quyền thông qua việc che nút "nâng cấp người dùng" trong giao diện quản trị hoặc gây ra lỗi XSS bằng cách lừa người dùng kéo nội dung vào khu vực văn bản UserJS. Lỗ hổng này đã được sửa chữa trong phiên bản 1.27.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.