PT-2025-53609

CVE-2025-68932

Publicado

2025-12-26

Atualizado

2026-10-13

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do FreshRSS anteriores à 1.28.0

Descrição O FreshRSS utiliza geradores de números aleatórios fracos (mt rand() e uniqid()) para criar tokens de autenticação "lembrar-me" e nonces de desafio-resposta. Isso permite que atacantes prevejam tokens de sessão válidos, potencialmente levando à tomada de conta através de sequestro de sessão persistente. Os tokens "lembrar-me" fornecem autenticação permanente e são utilizados na funcionalidade "mantenha-me conectado".

Recomendações Atualize para a versão 1.28.0 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Hackerman70000

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-338: Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG)

Identificadores relacionados

CVE-2025-68932