CVE-2026-35584 in freescout
要約
〜によって VulDB • 2026年05月10日
FreeScoutは、PHPのLaravelフレームワークを使用して構築された無料のヘルプデスクおよび共有インボックスです。バージョン1.8.212より前では、エンドポイント GET /thread/read/{conversation_id}/{thread_id} は認証を必要とせず、指定された thread_id が指定された conversation_id に属しているかどうかを検証しません。これにより、認証されていない攻撃者は任意のIDを渡すことで任意のスレッドを読了済みとしてマークし、HTTPレスポンスコード（200と404）を通じて有効なスレッドIDを列挙し、会話全体で opened_at タイムスタンプを操作することができます（IDOR）。この脆弱性は1.8.212で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.