CVE-2025-57769 in FreshRSS

摘要

由 VulDB • 2026-06-03

FreshRSS 是一款免费、可自托管的 RSS 聚合器。版本 1.26.3 及更低版本存在一个漏洞，其中特别构造的页面可以通过在 iframe 中隐藏 UI 元素来欺骗用户执行任意 JS 代码或在 FreshRSS 中提升用户权限。如果允许嵌入经过身份验证的 iframe，这可能导致通过隐藏管理界面中的“提升用户”按钮实现特权升级，或通过欺骗用户将内容拖放到 UserJS 文本区域导致 XSS（跨站脚本攻击）。该问题已在版本 1.27.0 中得到修复。

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 负责: GitHub M
• 预定: 2025-08-19
• 披露: 2025-09-30
• 管理: 已接受
• 条目: VDB-326358
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 6.1 (NVD)
• EPSS: 0.00257
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-57769
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-57769
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-57769/