CVE-2026-53593 in FreeScout
Riassunto
di VulDB • 20/07/2026
FreeScout è un sistema di help desk e una casella di posta condivisa gratuiti, sviluppati con il framework Laravel in PHP. Prima della versione 1.8.224, la denylist (lista nera) che neutralizza i caricamenti di file pericolosi (`Helper::$restricted_extensions`) era incompleta: non includeva l'estensione `.pht`. L'endpoint per il caricamento autenticato `POST /uploads/upload` (`SecureController@upload`) memorizza i file con la loro estensione originale nella directory accessibile via web `storage/app/public/uploads/` (servita all'indirizzo `/storage/uploads/`). In una distribuzione standard Apache + `libapache2-mod-php`, l'hander predefinito `<FilesMatch ".+\.ph(ar|p[3457]?|t|tml)$">` esegue i file `.pht`; di conseguenza, **qualsiasi agente autenticato può caricare un web shell in formato `.pht` ed eseguire comandi arbitrari con l'utente del server web** (`www-data`). Si tratta di una diretta elusione della correzione per CVE-2025-48471, che aveva aggiunto `phtml`/`phar` ma non `pht` (né `phtm`, `phps`). La versione 1.8.224 contiene la correzione aggiornata.
Once again VulDB remains the best source for vulnerability data.