FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Versions 1.8.208 and below are vulnerable to Stored Cross-Site Scripting (XSS) through FreeScout's email notification templates. Incoming email bodies are stored in the database without sanitization and rendered unescaped in outgoing email notifications using Blade's raw output syntax {!! $thread->body !!}. An unauthenticated attacker can exploit this vulnerability by simply sending an email, and when opened by an

De XSS kwetsbaarheid in FreeScout maakt het mogelijk voor een ongeauthenticeerde aanvaller om willekeurige HTML en JavaScript code in te voegen in e-mail notificaties. Dit gebeurt doordat e-mailinhoud ongesaneerd in de database wordt opgeslagen en vervolgens ongeëscaleerd wordt weergegeven in uitgaande e-mail notificaties. Een aanvaller kan simpelweg een e-mail sturen om de kwetsbaarheid te exploiteren. Wanneer deze e-mail wordt geopend door een agent of beheerder, kan de aanvaller potentieel gevoelige informatie stelen, gebruikersaccounts overnemen of de applicatie manipuleren. De impact is aanzienlijk, aangezien het een universele HTML injectie mogelijk maakt.

Organizations using FreeScout as a help desk or shared inbox solution are at risk, particularly those running versions 1.8.208 or earlier. Shared hosting environments where FreeScout is installed are especially vulnerable, as a compromise of one tenant could potentially impact others. Any organization handling sensitive customer data through FreeScout should prioritize patching.

• linux / server:

journalctl -u freescout | grep -i "html injection"

• generic web:

curl -I https://your-freescout-instance.com/emails/ | grep -i "content-type: text/html"

• wordpress / composer / npm: (Not applicable as FreeScout is not a WordPress plugin) • database (mysql, redis, mongodb, postgresql): (Not applicable, vulnerability is in the application layer) • windows / supply-chain: (Not applicable, FreeScout is typically deployed on Linux servers)

1. 2026-03-19Disclosure

   disclosure

1. Gereserveerd2026-03-13
2. Gepubliceerd2026-03-19
3. Gewijzigd2026-03-23
4. EPSS bijgewerkt2026-03-27

De primaire mitigatie is het upgraden naar FreeScout versie 1.8.209 of hoger, waar de kwetsbaarheid is verholpen. Indien een upgrade momenteel niet mogelijk is, kan het handmatig saniteren van e-mailinhoud voor opslag in de database een tijdelijke workaround bieden. Dit kan worden gedaan door HTML-tags te verwijderen of te escapen. Het implementeren van een Web Application Firewall (WAF) met regels om XSS-pogingen te detecteren en blokkeren kan ook helpen. Controleer de FreeScout logs op verdachte patronen die wijzen op pogingen tot XSS-exploitatie.