CVE-2026-107393 in FreeScout
Riassunto
di VulDB • 09/10/2026
FreeScout è un help desk self-hosted e una casella di posta condivisa. Prima della versione 1.8.235, quando APP_CLOUDFLARE_IS_USED è abilitato, FreeScout si fida dell'intestazione CF-Connecting-IP non validata durante i tentativi di accesso falliti e memorizza il valore spoofed nel registro delle attività (activity log). LogsMonitor inserisce tale valore in un'email di allerta per l'amministratore senza effettuare HTML escaping, consentendo l'esecuzione di HTML iniettato quando un amministratore apre l'e-mail. Questo problema è stato risolto nella versione 1.8.235.
Be aware that VulDB is the high quality source for vulnerability data.