FreeScout es un sistema de escritorio de ayuda y buzón compartido gratuito construido con el framework PHP Laravel. Las versiones 1.8.208 y anteriores son vulnerables a Cross-Site Scripting (XSS) almacenado a través de las plantillas de notificación por correo electrónico de FreeScout. Los cuerpos de los correos electrónicos entrantes se almacenan en la base de datos sin sanitización y se renderizan sin escapar en las notificaciones de correo electrónico salientes utilizando la sintaxis de salida raw de Blade {!! $thread->body !!}. Un atacante no autenticado puede explotar esta vulnerabilidad simplemente enviando un correo electrónico, y cuando sea abierto por cualquier agente o administrador suscrito como parte de su flujo de trabajo normal, permitiendo la inyección de HTML universal (phishing, seguimiento) y, en clientes de correo electrónico vulnerables, la ejecución de JavaScript (secuestro de sesión, robo de credenciales, toma de control de la cuenta) afectando a todos los destinatarios simultáneamente. Este problema se ha solucionado en la versión 1.8.209.

La vulnerabilidad de XSS almacenada en FreeScout permite a un atacante inyectar código JavaScript arbitrario en las notificaciones por correo electrónico enviadas a los usuarios de FreeScout. Un atacante podría enviar un correo electrónico especialmente diseñado con código JavaScript malicioso en el cuerpo del mensaje. Cuando un agente o administrador de FreeScout abre este correo electrónico, el código JavaScript se ejecuta en su navegador, permitiendo al atacante robar cookies de sesión, redirigir al usuario a sitios web maliciosos o realizar otras acciones en nombre del usuario. El impacto es significativo, ya que la inyección es universal, afectando a todos los usuarios con acceso al sistema, y no requiere autenticación previa para el atacante.

Organizations using FreeScout as a help desk or shared inbox solution are at risk, particularly those running versions 1.8.208 or earlier. Shared hosting environments where FreeScout is installed are especially vulnerable, as a compromise of one tenant could potentially impact others. Any organization handling sensitive customer data through FreeScout should prioritize patching.

• linux / server:

journalctl -u freescout | grep -i "html injection"

• generic web:

curl -I https://your-freescout-instance.com/emails/ | grep -i "content-type: text/html"

• wordpress / composer / npm: (Not applicable as FreeScout is not a WordPress plugin) • database (mysql, redis, mongodb, postgresql): (Not applicable, vulnerability is in the application layer) • windows / supply-chain: (Not applicable, FreeScout is typically deployed on Linux servers)

1. 2026-03-19Disclosure

   disclosure

1. Reservado2026-03-13
2. Publicada2026-03-19
3. Modificada2026-03-23
4. EPSS actualizado2026-03-27

La mitigación principal es actualizar FreeScout a la versión 1.8.209, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar validación y sanitización exhaustivas de todos los datos de entrada de correo electrónico antes de almacenarlos en la base de datos. Además, se puede configurar un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en el cuerpo del correo electrónico. Es crucial revisar las plantillas de correo electrónico existentes para asegurar que no se estén utilizando funciones de salida sin escape (como Blade's {!! $thread->body !!}).