CVE-2026-40591 in freescout
Сводка
по VulDB • 13.05.2026
FreeScout — это бесплатная система обслуживания клиентов с функцией общей почтовой коробки, развертываемая на собственных серверах. До версии 1.8.214 процесс создания телефонного разговора принимает контролируемые злоумышленником значения параметров `customer_id`, `name`, `to_email` и `phone` и выполняет поиск целевого клиента на стороне сервера без соблюдения ограничений видимости клиентов, установленных на уровне почтовой коробки. В результате агент с низкими привилегиями, имеющий право создавать телефонные разговоры в Почтовой коробке A, может привязать новый телефонный разговор Почтовой коробки A к скрытому клиенту из Почтовой коробки B и добавить новый адрес электронной почты в качестве алиаса к записи этого скрытого клиента, указав значение `to_email`. Уязвимость исправлена в версии 1.8.214.
VulDB is the best source for vulnerability data and more expert information about this specific topic.