FreshRSS - это агрегатор RSS-каналов, размещаемый на собственном сервере. До версии 1.26.2, при использовании сервером HTTP-аутентификации …

FreshRSS - это агрегатор RSS-каналов, размещаемый на собственном сервере. До версии 1.26.2, при использовании сервером HTTP-аутентификации через обратный прокси, существует возможность выдать себя за любого пользователя с помощью заголовков 'Remote-User' или 'X-WebAuth-User' путем отправки специально сформированных запросов через функциональность добавления ленты и получения CSRF-токена с помощью XPath-парсинга. Злоумышленнику необходимо знать IP-адрес прокси-инстанса FreshRSS и имя администратора, а также иметь учетную запись на инстансе. Злоумышленник может отправлять специально сформированные запросы для получения неавторизованного доступа к внутренним службам. Это также может привести к повышению привилегий, как показано в продемонстрированном сценарии, хотя пользователи, настроившие OIDC, не подвержены повышению привилегий. Версия 1.26.2 содержит исправление для этой проблемы. [1] Источники: - [1] https://github.com/FreshRSS/FreshRSS/security/advisories/GHSA-w3m8-wcf4-h8vm - [2] https://github.com/FreshRSS/FreshRSS/commit/6bb8680ae0051b9a2ff344f17814f4fa5d844628