FreeScout Vulnérable à XSS via la Signature du Boîte de Réception en Raison d'une Sanitisation HTML Incomplète

L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans les signatures des boîtes de réception. Lorsque d'autres utilisateurs accèdent à ces signatures, le code malveillant s'exécute dans leur contexte de navigateur, permettant à l'attaquant de voler des cookies, de rediriger les utilisateurs vers des sites malveillants, ou même de compromettre complètement leur session. Le risque est exacerbé si FreeScout est utilisé pour gérer des informations sensibles ou des communications confidentielles, car l'attaquant pourrait potentiellement accéder à ces données. La vulnérabilité est particulièrement préoccupante car elle est stockée, ce qui signifie que les signatures malveillantes peuvent persister et affecter plusieurs utilisateurs au fil du temps.

Organizations utilizing FreeScout for help desk and shared mailbox management are at risk. This includes businesses of all sizes, particularly those relying on self-hosted deployments. Shared hosting environments where multiple FreeScout instances reside on a single server are especially vulnerable, as a compromise of one instance could potentially impact others.

• wordpress / composer / npm:

grep -r '<script>' /var/www/freescout/app/Http/Controllers/MailboxesController.php
grep -r 'event handler' /var/www/freescout/app/Misc/Helper.php

• generic web:

curl -I http://your-freescout-instance/mailboxes/signatures/new | grep -i content-security-policy

1. 2026-04-21Disclosure

   disclosure

1. Réservé2026-04-14
2. Publiée2026-04-21
3. EPSS mis à jour2026-04-29

La mesure de mitigation la plus efficace est de mettre à jour FreeScout vers la version 1.8.213 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à désactiver la fonctionnalité de signature de boîte de réception. En outre, l'utilisation d'un pare-feu applicatif web (WAF) peut aider à bloquer les tentatives d'injection XSS. Surveillez les journaux d'accès et d'erreurs pour détecter des schémas d'activité suspects, tels que des requêtes contenant des balises HTML inhabituelles. Il n'existe pas de signature Sigma ou YARA spécifique à cette vulnérabilité, mais une analyse régulière des signatures de boîte de réception peut aider à identifier les injections potentielles.