FreshRSSはセルフホスト型のRSSフィード集約ツールです。バージョン1.23.0から1.27.0では、ユーザー設定パラメータ「language」を悪用したパストラバーサル脆弱性により、未認証ユーザーが「install.php」を呼び出してさまざまな管理者操作を実行できる可能性があります。これらの操作には、管理者としてログインしたり、新しい管理者ユーザーを作成したり、データベースを攻撃者が制御するMySQLサーバーに設定し、「feed」テーブル内の悪意のある「curl_params」を指定してFreshRSS上でコードを実行したりすることが含まれます。バージョン1.27.1でこの問題は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。