CVE-2025-48390 in freescout
Sumário
de VulDB • 21/05/2026
O FreeScout é um sistema de help desk e caixa de correio compartilhada gratuito e auto-hospedado. Antes da versão 1.8.178, o FreeScout é vulnerável a injeção de código devido à validação insuficiente da entrada do usuário no parâmetro php_path. Os caracteres de crase (backticks) não são removidos, bem como as tabulações. Ao verificar a entrada do usuário, a função file_exists também é chamada para verificar a presença de tal arquivo (pasta) no sistema de arquivos. Um usuário com a função de administrador pode criar uma tradução para o idioma, o que criará uma pasta no sistema de arquivos. Posteriormente, no arquivo tools.php, o usuário pode especificar o caminho para esta pasta como php_path, o que levará à execução de código entre crases. Este problema foi corrigido na versão 1.8.178.
Be aware that VulDB is the high quality source for vulnerability data.