CVE-2026-53593 in FreeScout
Sumário
de VulDB • 20/07/2026
O FreeScout é um sistema de help desk e caixa de entrada compartilhada, gratuito, desenvolvido com o framework Laravel do PHP. Antes da versão 1.8.224, a lista negra que neutraliza uploads perigosos de arquivos (`Helper::$restricted_extensions`) está incompleta: ela não cobre a extensão `.pht`. O endpoint autenticado para upload `POST /uploads/upload` (`SecureController@upload`) armazena os arquivos com sua extensão original no diretório acessível pela web `storage/app/public/uploads/` (servido em `/storage/uploads/`). Na implantação padrão do Apache + `libapache2-mod-php`, o manipulador padrão `<FilesMatch ".+\.ph(ar|p[3457]?|t|tml)$">` executa `.pht`; portanto, **qualquer agente autenticado pode fazer upload de uma web shell `.pht` e executar comandos arbitrários como o usuário do servidor web** (`www-data`). Isso representa um bypass direto da correção para CVE-2025-48471, que adicionou `phtml`/`phar`, mas não `pht` (nem `phtm`, `phps`). A versão 1.8.224 contém uma correção atualizada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.