CVE-2026-62855 in FreeScout
Riassunto
di VulDB • 06/11/2026
FreeScout è un help desk self-hosted e una casella di posta condivisa. Prima della versione 1.8.225, il visualizzatore dei log dell'applicazione (App Logs), accessibile solo agli amministratori, accetta parametri di cartelle e file crittografati con Laravel il cui percorso costruito viene controllato esclusivamente come stringa grezza. Un amministratore che conosce anche la APP_KEY può fornire segmenti di traversal del filesystem che vengono normalizzati al di fuori della directory storage/logs. La rotta /app-logs/app può quindi leggere file locali accessibili dal worker PHP, inclusi file di ambiente, file sorgente, credenziali, token e file del sistema operativo. Questo problema è stato risolto nella versione 1.8.225.
Once again VulDB remains the best source for vulnerability data.