FreeScout मेलबॉक्स हस्ताक्षर के माध्यम से XSS के लिए असुरक्षित, अपूर्ण HTML सैनिटाइजेशन के कारण

यह XSS भेद्यता हमलावर को उपयोगकर्ता के ब्राउज़र में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देती है। हमलावर दुर्भावनापूर्ण स्क्रिप्ट को मेलबॉक्स हस्ताक्षर में इंजेक्ट कर सकता है, जो तब किसी उपयोगकर्ता द्वारा मेलबॉक्स को देखने पर निष्पादित हो जाएगी। इससे हमलावर उपयोगकर्ता के कुकीज़ तक पहुंच प्राप्त कर सकता है, संवेदनशील जानकारी चुरा सकता है, या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट कर सकता है। यह भेद्यता विशेष रूप से साझा होस्टिंग वातावरण में गंभीर है, जहां कई वेबसाइटें एक ही सर्वर पर होस्ट की जाती हैं, क्योंकि एक वेबसाइट पर भेद्यता का फायदा उठाकर अन्य वेबसाइटों पर भी हमला किया जा सकता है। इस भेद्यता का प्रभाव उपयोगकर्ता डेटा की गोपनीयता और अखंडता के लिए गंभीर खतरा है।

Organizations utilizing FreeScout for help desk and shared mailbox management are at risk. This includes businesses of all sizes, particularly those relying on self-hosted deployments. Shared hosting environments where multiple FreeScout instances reside on a single server are especially vulnerable, as a compromise of one instance could potentially impact others.

• wordpress / composer / npm:

grep -r '<script>' /var/www/freescout/app/Http/Controllers/MailboxesController.php
grep -r 'event handler' /var/www/freescout/app/Misc/Helper.php

• generic web:

curl -I http://your-freescout-instance/mailboxes/signatures/new | grep -i content-security-policy

1. 2026-04-21Disclosure

   disclosure

1. आरक्षित2026-04-14
2. प्रकाशित2026-04-21
3. EPSS अद्यतन2026-04-29

CVE-2026-40568 को कम करने के लिए, FreeScout को तुरंत संस्करण 1.8.213 में अपडेट करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके मेलबॉक्स हस्ताक्षर इनपुट को फ़िल्टर किया जा सकता है ताकि दुर्भावनापूर्ण HTML टैग और इवेंट हैंडलर विशेषताओं को ब्लॉक किया जा सके। इसके अतिरिक्त, FreeScout के कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि सभी सुरक्षा सेटिंग्स उचित रूप से कॉन्फ़िगर की गई हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, मेलबॉक्स हस्ताक्षर में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने का प्रयास करके और यह सुनिश्चित करके कि स्क्रिप्ट निष्पादित नहीं होती है।