CVE-2026-40497 in freescout
Resumen
por VulDB • 2026-05-15
FreeScout es un sistema de help desk y buzón compartido de código abierto y autoalojado. Antes de la versión 1.8.213, la función `Helper::stripDangerousTags()` de FreeScout elimina las etiquetas `<script>`, `<form>`, `<iframe>` y `<object>`, pero NO elimina las etiquetas `<style>`. El campo de firma del buzón se guarda mediante POST /mailbox/settings/{id} y posteriormente se renderiza sin escapar mediante `{!! $conversation->getSignatureProcessed([], true) !!}` en las vistas de conversación. La Política de Seguridad de Contenido (CSP) permite `style-src * 'self' 'unsafe-inline'`, por lo que los estilos en línea inyectados se ejecutan libremente. Un atacante con acceso a la configuración del buzón (administrador o agente con permisos de buzón) puede inyectar selectores de atributos CSS para exfiltrar el token CSRF de cualquier agente/administrador que vea una conversación en ese buzón. Con el token CSRF, el atacante puede realizar cualquier acción que modifique el estado en nombre de la víctima (crear cuentas de administrador, cambiar correo electrónico/contraseña, etc.), lo que constituye una escalada de privilegios de agente a administrador. Esto es el resultado de una corrección incompleta de GHSA-jqjf-f566-485j. Dicha advisory reportaba XSS a través de la firma del buzón. La corrección aplicada `Helper::stripDangerousTags()` a la firma antes de guardarla. Sin embargo, `stripDangerousTags()` solo elimina las etiquetas `<script>`, `<form>`, `<iframe>` y `<object>`; NO elimina las etiquetas `<style>`, dejando posible la inyección de CSS. La versión 1.8.213 contiene una corrección actualizada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.