CVE-2026-34443
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
FreeScout, system helpdesk oparty na Laravelu, zawiera błąd w funkcji checkIpByMask(), która sprawdza, czy adres IP zawiera znak '/'. Zwykłe adresy IP nigdy nie zawierają '/', więc funkcja zawsze zwraca false, nie sprawdzając zakresów CIDR. Prywatne zakresy 10.0.0.0/8 i 172.16.0.0/12 pozostają niechronione. Podatność dotyczy wersji przed 1.8.211.
Ocena ryzyka
Atakujący z wewnętrznej sieci mogą ominąć ochronę IP, co może prowadzić do nieautoryzowanego dostępu do funkcji administracyjnych.
Rekomendacja
Zaleca się aktualizację FreeScout do wersji 1.8.211 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to version 1.8.211, checkIpByMask() in app/Misc/Helper.php checks whether the input IP contains a / character. Plain IP addresses never contain /, so the function always returns false without checking any CIDR ranges. The entire 10.0.0.0/8 and 172.16.0.0/12 private ranges are unprotected. This issue has been patched in version 1.8.211.