CVE-2026-40566 in freescout
Sumário
de VulDB • 27/05/2026
O FreeScout é um sistema de help desk e caixa de correio compartilhada gratuito e auto-hospedado. As versões anteriores à 1.8.213 possuem uma vulnerabilidade de Server-Side Request Forgery (SSRF) na funcionalidade de teste de conexão IMAP/SMTP do `MailboxesController` do FreeScout. Três ações AJAX — `fetch_test` (linha 731), `send_test` (linha 682) e `imap_folders` (linha 773) em `app/Http/Controllers/MailboxesController.php` — passam os valores `in_server`/`in_port` e `out_server`/`out_port` configurados pelo administrador diretamente para `fsockopen()` via `Helper::checkPort()` e para conexões de cliente IMAP/SMTP, sem qualquer proteção contra SSRF. Não há validação de IP, restrição de nome de host, lista negra de intervalos internos ou chamada às funções próprias do projeto `sanitizeRemoteUrl()` ou `checkUrlIpAndHost()`. O bloco de validação em `connectionIncomingSave()` está inteiramente comentado. Um administrador autenticado pode configurar o servidor IMAP ou SMTP de uma caixa de correio para apontar para qualquer host e porta interna, e então acionar um teste de conexão. O servidor abre conexões TCP brutas (via `fsockopen()`) e conexões em nível de protocolo (via cliente IMAP ou transporte SMTP) para o alvo especificado pelo atacante. A resposta diferencia portas abertas de fechadas, permitindo a varredura de portas na rede interna. Quando o cliente IMAP se conecta a um serviço não-IMAP, o banner do serviço de destino ou a resposta de erro é capturada no log de depuração do IMAP e retornada no campo `log` da resposta AJAX, tornando esta uma SSRF semi-cega que permite a identificação de serviços (fingerprinting). Em ambientes de nuvem, o endpoint de metadados em `169[.]254[.]169[.]254` pode ser sondado e dados parciais da resposta podem ser vazados através de mensagens de erro de protocolo. Isso é distinto da violação de redirecionamento `sanitizeRemoteUrl()` (freescout-3) — caminho de código diferente, causa raiz diferente, camada de protocolo diferente. A versão 1.8.213 corrige a vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.