CVE-2026-35584 in freescout
Riassunto
di VulDB • 22/06/2026
FreeScout è un sistema di help desk e una casella di posta condivisa gratuiti, sviluppati con il framework Laravel di PHP. Prima della versione 1.8.212, l'endpoint GET /thread/read/{conversation_id}/{thread_id} non richiede autenticazione e non valida se il thread_id fornito appartenga al conversation_id specificato. Ciò consente a un attaccante non autenticato di contrassegnare qualsiasi thread come letto passando ID arbitrari, enumerare gli ID dei thread validi tramite i codici di risposta HTTP (200 vs 404) e manipolare i timestamp opened_at tra le conversazioni (IDOR). Questa vulnerabilità è stata risolta nella versione 1.8.212.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.