FreshRSS es vulnerable a ataques de RCE por parte de administradores autenticados

Un atacante que explote con éxito esta vulnerabilidad puede obtener control total sobre el servidor FreshRSS. Esto permite la ejecución de comandos arbitrarios, lo que puede resultar en la exfiltración de datos sensibles, incluyendo contraseñas hasheadas. Además, el atacante podría defacear la instancia de FreshRSS si tiene los permisos necesarios para modificar archivos. La capacidad de insertar código malicioso abre la puerta a la robo de contraseñas en texto plano y otras acciones maliciosas, lo que representa un riesgo significativo para la seguridad de los usuarios y la integridad de los datos.

Organizations and individuals who self-host FreshRSS instances, particularly those with administrator accounts that have access to modify system settings, are at risk. Shared hosting environments where multiple users share a single FreshRSS instance are also particularly vulnerable, as a compromised administrator account could impact all users on the server.

• linux / server: Monitor FreshRSS update logs (typically located in /var/log/freshrss/) for any unexpected or unauthorized update attempts. Use journalctl -u freshrss to filter for update-related events.

journalctl -u freshrss | grep -i update

• generic web: Monitor access logs for requests to the FreshRSS update endpoint with unusual or suspicious parameters in the URL.

grep -i 'update?' /var/log/apache2/access.log

• php: Check the FreshRSS configuration file (config.inc.php) for any unusual or unexpected settings related to the update process.

1. 2025-08-01Disclosure

   disclosure

1. Reservado2025-07-25
2. Publicada2025-08-01
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-54593 es actualizar FreshRSS a la versión 1.26.2 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa de la instancia antes de proceder. Como medida temporal, se recomienda restringir el acceso a la función de actualización de FreshRSS a una red interna segura. Implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes con URLs de actualización sospechosas también puede ayudar a mitigar el riesgo. Después de la actualización, verifique la integridad de los archivos del sistema FreshRSS para confirmar que no se han modificado.