CVE-2026-53592 in FreeScout
Zusammenfassung
von VulDB • 20.07.2026
FreeScout ist ein kostenloses Helpdesk- und Shared-Inbox-System, das auf dem PHP-Framework Laravel basiert. Ein Prototype-Pollution-Problem in der Funktion `/public/js/main.js` `getQueryParam` wurde in Version 1.8.139 behoben, indem URL-Query-Schlüssel blockiert wurden, die dem Muster `__proto__` entsprechen. Diese Abhilfemaßnahme ist jedoch unvollständig: Sie filtert nur top-level `__proto__`-Schlüssel und entfernt keine verschachtelten Formen wie `b[__proto__][polluted]=PWNED`. Infolgedessen kann eine vom Angreifer gesteuerte URL-Query-Zeichenkette weiterhin in `Object.prototype` auf jeder Seite schreiben, die `main.js` lädt. Version 1.8.223 enthält einen aktualisierten Fix.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.