CVE-2025-68402

Nome do Software Vulnerável e Versões Afetadas Versões do FreshRSS anteriores a 1.27.2-dev

Descrição O FreshRSS, um agregador de RSS auto-hospedável, contém uma falha relacionada à verificação de senha. Uma alteração no comprimento do nonce, de 40 para 64 caracteres (entre os commits 57e1a37 e 00f2f04), faz com que a função password verify() seja chamada com uma string construída em vez da senha bruta do usuário. Esta string construída consiste em um nonce SHA-256 combinado com uma porção de um hash bcrypt. Devido ao truncamento de entrada de 72 bytes do bcrypt, isso permite que a verificação de senha seja bem-sucedida mesmo com uma senha incorreta. O problema estava presente na branch edge, mas não nas versões estáveis.

Recomendações Atualize para a versão 1.27.2-dev ou posterior.