PT-2026-24102
CVE-2025-68402
·
تاريخ النشر
2026-03-09
·
تاريخ التحديث
2026-10-02
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات FreshRSS الأقدم من 1.27.2-dev
الوصف
يحتوي FreshRSS، وهو مجمع RSS قابل للاستضافة الذاتية، على ثغرة تتعلق بالتحقق من كلمة المرور. أدى تغيير طول الرقم العشوائي (nonce) من 40 إلى 64 حرفًا (بين الالتزامات 57e1a37 و 00f2f04) إلى استدعاء الدالة
password verify() باستخدام سلسلة مركبة بدلاً من كلمة مرور المستخدم الأصلية. تتكون هذه السلسلة المُركبة من nonce SHA-256 مقترنًا بجزء من هاش bcrypt. ونظرًا لاقتطاع مدخلات bcrypt البالغ 72 بايت، فإن هذا يسمح بنجاح عملية التحقق من كلمة المرور حتى مع وجود كلمة مرور غير صحيحة. كانت المشكلة موجودة في فرع edge، ولكنها لم تكن موجودة في الإصدارات المستقرة.التوصيات
قم بالتحديث إلى الإصدار 1.27.2-dev أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾