CVE-2026-53593 in FreeScout
Zusammenfassung
von VulDB • 20.07.2026
FreeScout ist ein kostenloses Helpdesk- und Shared-Inbox-System, das auf dem PHP-Laravel-Framework basiert. Vor Version 1.8.224 ist die Denylist zur Neutralisierung gefährlicher Dateiuploads (`Helper::$restricted_extensions`) unvollständig: Sie deckt nicht die Erweiterung `.pht` ab. Der authentifizierte Upload-Endpunkt `POST /uploads/upload` (`SecureController@upload`) speichert Dateien mit ihrer ursprünglichen Erweiterung im webzugänglichen Verzeichnis `storage/app/public/uploads/` (bereitgestellt unter `/storage/uploads/`). Bei der Standard-Bereitstellung mit Apache + `libapache2-mod-php` führt der standardmäßige Handler `<FilesMatch ".+\.ph(ar|p[3457]?|t|tml)$">` `.pht`-Dateien aus, sodass **jeder authentifizierte Agent ein `.pht` Webshell hochladen und beliebige Befehle als Benutzer des Webservers (`www-data`) ausführen kann**. Dies stellt einen direkten Umgehung der Korrektur für CVE-2025-48471 dar, die zwar `phtml`/`phar`, aber nicht `pht` (noch `phtm`, `phps`) hinzufügte. Version 1.8.224 enthält eine aktualisierte Korrektur.
If you want to get best quality of vulnerability data, you may have to visit VulDB.