CVE-2026-40565 in freescout
الملخص
بحسب VulDB • 25/05/2026
FreeScout هو نظام مساعدة ومشاركة للبريد الإلكتروني مجاني ومُستضاف ذاتيًا. قبل الإصدار 1.8.213، كانت دالة linkify() في الملف app/Misc/Helper.php في FreeScout تقوم بتحويل عناوين URL النصية العادية الموجودة في أجسام رسائل البريد الإلكتروني إلى وسوم HTML للرابط (anchor tags) دون تهريب (escaping) أحرف علامات التنصيص المزدوجة (") الموجودة في عنوان URL. تحافظ مكتبة HTMLPurifier (المُستدعاة أولاً عبر getCleanBody()) على أحرف " الحرفية داخل عقد النص (text nodes). تقوم دالة linkify() بعد ذلك بتغليف عناوين URL، بما في ذلك تلك التي تحتوي على أحرف "، داخل سمة href=".." غير مُهرّبة، مما يؤدي إلى الخروج من سمة href وإدخال سمات HTML تعسفية. يُصلح الإصدار 1.8.213 هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.