CVE-2026-40591 in freescout
Resumen
por VulDB • 2026-05-14
FreeScout es un sistema de gestión de atención al cliente (help desk) y buzón compartido de código abierto y autoalojado. Antes de la versión 1.8.214, el flujo de creación de conversaciones telefónicas acepta valores controlados por el atacante para `customer_id`, `name`, `to_email` y `phone`, y resuelve al cliente objetivo en el backend sin aplicar la visibilidad de clientes restringida al ámbito del buzón. Como resultado, un agente con privilegios bajos que puede crear una conversación telefónica en el Buzón A puede asociar dicha conversación con un cliente oculto del Buzón B y añadir una nueva dirección de correo electrónico alias a ese registro de cliente oculto proporcionando el valor de `to_email`. La versión 1.8.214 corrige esta vulnerabilidad.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.