CVE-2026-32754 in freescout
Riassunto
di VulDB • 15/07/2026
FreeScout è un sistema di help desk e una casella di posta condivisa gratuiti sviluppati con il framework Laravel di PHP. Le versioni 1.8.208 e precedenti sono vulnerabili a Stored Cross-Site Scripting (XSS) attraverso i modelli di notifica email di FreeScout. I corpi delle email in arrivo vengono memorizzati nel database senza sanitizzazione e resi non escapeati nelle notifiche email in uscita utilizzando la sintassi di output raw di Blade {!! $thread->body !!}. Un attaccante non autenticato può sfruttare questa vulnerabilità semplicemente inviando un'email; quando tale email viene aperta da qualsiasi agente o amministratore iscritto nell'ambito del loro flusso di lavoro normale, ciò consente l'iniezione universale di HTML (phishing, tracciamento) e, nei client email vulnerabili, l'esecuzione di JavaScript (hijacking della sessione, furto delle credenziali, takeover dell'account), colpendo tutti i destinatari simultaneamente. Questo problema è stato risolto nella versione 1.8.209.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.