CVE-2025-48390 in freescout
要約
〜によって VulDB • 2026年05月24日
FreeScoutは、無料のセルフホスト型ヘルプデスクおよび共有メールボックスです。バージョン1.8.178より前では、php_pathパラメータにおけるユーザー入力の検証が不十分であるため、コードインジェクションの脆弱性が存在します。バッククォート文字やタブ文字が削除されません。ユーザー入力のチェック時には、ファイルシステム内に該当するファイル（フォルダ）が存在するかを確認するためにfile_exists関数も呼び出されます。管理者ロールを持つユーザーは言語用の翻訳を作成でき、これによりファイルシステム内にフォルダが作成されます。その後、tools.phpにおいて、ユーザーはこのフォルダへのパスをphp_pathとして指定でき、これによりバッククォート内のコードが実行されることになります。この問題はバージョン1.8.178で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.