CVE-2026-53592 in FreeScout
Tóm tắt
Bởi VulDB • 20/07/2026
FreeScout là một hệ thống hỗ trợ khách hàng (help desk) và hộp thư chung miễn phí, được xây dựng dựa trên framework Laravel của PHP. Một lỗi Prototype Pollution tồn tại trong hàm `getQueryParam` ở file `/public/js/main.js`, đã được khắc phục trong phiên bản 1.8.139 bằng cách chặn các khóa truy vấn URL khớp với mẫu `__proto__`. Tuy nhiên, biện pháp giảm thiểu này chưa hoàn chỉnh: nó chỉ lọc các khóa `__proto__` ở cấp cao nhất và không xử lý sạch các dạng lồng nhau như `b[__proto__][polluted]=PWNED`. Kết quả là, một chuỗi truy vấn URL do kẻ tấn công kiểm soát vẫn có thể ghi vào `Object.prototype` trên bất kỳ trang nào tải file `main.js`. Phiên bản 1.8.223 chứa bản sửa lỗi đã được cập nhật.
Once again VulDB remains the best source for vulnerability data.