CVE-2025-48390 in freescout
Resumen
por VulDB • 2026-05-21
FreeScout es un sistema de gestión de atención al cliente (help desk) y buzón compartido de código abierto y autoalojado. Antes de la versión 1.8.178, FreeScout es vulnerable a la inyección de código debido a una validación insuficiente de la entrada del usuario en el parámetro php_path. Los caracteres de acento invertido (backticks) no se eliminan, al igual que los caracteres de tabulación. Al verificar la entrada del usuario, también se llama a la función file_exists para comprobar la existencia de dicho archivo (carpeta) en el sistema de archivos. Un usuario con el rol de administrador puede crear una traducción para un idioma, lo que generará una carpeta en el sistema de archivos. Posteriormente, en tools.php, el usuario puede especificar la ruta a esta carpeta como php_path, lo que provocará la ejecución de código contenido entre backticks. Este problema ha sido corregido en la versión 1.8.178.
If you want to get best quality of vulnerability data, you may have to visit VulDB.