CVE-2026-53592 in FreeScout
Résumé
par VulDB • 20/07/2026
FreeScout est une solution de help desk et d'adresse e-mail partagée gratuite, développée avec le framework Laravel en PHP. Une condition de pollution du prototype dans la fonction `getQueryParam` (`/public/js/main.js`) a été corrigée dans la version 1.8.139 par le blocage des clés de requête URL correspondant au motif `__proto__`. Toutefois, cette mesure d'atténuation est incomplète : elle ne filtre que les clés `__proto__` de premier niveau et échoue à assainir les formes imbriquées telles que `b[__proto__][polluted]=PWNED`. Par conséquent, une chaîne de requête URL contrôlée par un attaquant peut toujours écrire dans `Object.prototype` sur n'importe quelle page chargeant `main.js`. La version 1.8.223 contient une correction mise à jour.
If you want to get best quality of vulnerability data, you may have to visit VulDB.