CVE-2026-41904
WysokieStreszczenie
FreeScout przed wersją 1.8.217 pozwala użytkownikom z uprawnieniami updateAutoReply na zapisanie ładunku XSS w wiadomości automatycznej odpowiedzi. Ładunek ten jest renderowany bez ucieczki w e-mailu automatycznej odpowiedzi wysyłanym do klientów.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do wykonania złośliwego kodu w kontekście klienta poczty, co stwarza ryzyko kradzieży danych lub przejęcia konta użytkownika.
Rekomendacja
Zaleca się aktualizację do wersji 1.8.217 lub nowszej, aby usunąć tę podatność.
Inne podatności w FreeScout
Zobacz wszystkie- CVE-2026-41906Wysokie
FreeScout to darmowy system pomocy technicznej i wspólnej skrzynki odbiorczej zbudowany na frameworku Laravel. Przed wersją 1.8.214, modal zmiany klienta poprawnie ukrywał klientów spoza zakresu, jednak backendowa akcja conversation_change_customer akceptowała dowolny podany adres e-mail klienta.
- CVE-2026-41905Wysokie
FreeScout przed wersją 1.8.217 zawierał lukę w funkcji Helper::sanitizeRemoteUrl(), która nieprawidłowo walidowała adresy URL po przekierowaniach HTTP. Atakujący mógł wykorzystać tę lukę do przekierowania ruchu do wewnętrznych usług HTTP, które normalnie byłyby zablokowane.
- CVE-2026-53595Krytyczne
W FreeScout przed wersją 1.8.224 publiczny endpoint `POST /user-setup/{hash}/{invite_sent_at}` pozwala atakującemu na przejęcie konta użytkownika bez uwierzytelnienia. Podatność wynika z pomijania spacji w VARCHAR w MySQL/MariaDB oraz z nieprawidłowego deszyfrowania parametru `invite_sent_at`.
- CVE-2026-41902Krytyczne
FreeScout przed wersją 1.8.217 ma lukę w punkcie końcowym /user-setup/{hash}, który akceptuje 60-znakowy losowy invite_hash do ustawienia hasła nowego użytkownika. Brak weryfikacji wygaszenia hasha pozwala na nieautoryzowane przejęcie konta przez długi czas po wydaniu zaproszenia.
- CVE-2026-53596Średnie
FreeScout, darmowe narzędzie helpdesk oparte na Laravelu, nie ogranicza szybkości żądań na punkcie końcowym przesyłania plików. Każdy użytkownik może zasypać serwer żądaniami przesyłania, prowadząc do przeciążenia bazy danych i potencjalnej odmowy usługi dla wszystkich użytkowników. Problem został naprawiony w wersji 1.8.224.
- CVE-2026-53594Średnie
FreeScout przed wersją 1.8.224 zawiera podatność w funkcji App Logs, która pozwala uwierzytelnionemu atakującemu na pobranie dowolnych plików lokalnych czytelnych dla procesu PHP poprzez manipulację parametrem dl.
- CVE-2026-53593Wysokie
FreeScout przed wersją 1.8.224 posiada niekompletną listę zablokowanych rozszerzeń plików, która nie obejmuje rozszerzenia .pht. Uwierzytelniony agent może przesłać webshella .pht, co pozwala na zdalne wykonanie kodu na serwerze WWW.
- CVE-2026-53592Średnie
Podatność Prototype Pollution w funkcji getQueryParam w pliku /public/js/main.js w FreeScout. Obejście w wersji 1.8.139 jest niekompletne, umożliwiając atak przez zagnieżdżone klucze URL. Poprawka w wersji 1.8.223.
- CVE-2026-53591Wysokie
Podatność w FreeScout przed wersją 1.8.223. Nieuwierzytelniony atakujący może wstrzyknąć wiadomość do dowolnej istniejącej rozmowy wsparcia, wysyłając e-mail z spreparowanym nagłówkiem In-Reply-To. Wiadomość jest wyświetlana jako odpowiedź klienta, a rozmowa jest automatycznie otwierana.
- CVE-2026-48812Wysokie
Podatność w FreeScout (wersje przed 1.8.221) w mechanizmie pobierania załączników. Nieuwierzytelniony atakujący może pobrać dowolny załącznik utworzony przez starszą wersję, ponieważ pomijane jest uwierzytelnianie tokenem dla załączników z typem tokena legacy.
Oryginalny opis (angielski, źródło NVD)
FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to version 1.8.217, a user with updateAutoReply permission can store an XSS payload in the mailbox auto-reply message. The payload is rendered unescaped in the auto-reply email sent to every customer who contacts the mailbox. Email clients do not enforce CSP, so the payload executes in the customer's webmail / mail-client context. This issue has been patched in version 1.8.217.