FreshRSSは、無料で自己ホスト可能なRSSアグリゲーターです。バージョン1.28.0以前では、FreshRSSが記憶用認証トークンおよびチャレンジ・レスポンスのノンス生成に暗号学的に弱い乱数生成器（mt_rand()およびuniqid()）を使用しています。その結果、攻撃者が有効なセッショントークンを予測でき、永続的なセッションハイジャックによるアカウント乗っ取りが発生する可能性があります。記憶用トークンは恒久的な認証手段であり、「ログインしたままにする」機能の唯一の認証情報となっています。この問題はバージョン1.28.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。