Platform
php
Component
freescout-help-desk
Opgelost in
1.8.214
CVE-2026-40568 describes a stored cross-site scripting (XSS) vulnerability discovered in FreeScout, a free self-hosted help desk and shared mailbox application. This vulnerability allows attackers to inject malicious scripts into mailbox signatures, potentially leading to account compromise and data theft. The issue affects versions 1.0.0 through 1.8.212, and a patch is available in version 1.8.213.
Een succesvolle exploitatie van deze XSS-kwetsbaarheid kan leiden tot het stelen van gebruikersgegevens, het uitvoeren van acties namens de gebruiker, of het doorsturen van de gebruiker naar kwaadaardige websites. De aanvaller kan bijvoorbeeld een script injecteren dat de cookies van een beheerder steelt, waardoor de aanvaller volledige controle over het FreeScout systeem kan krijgen. De impact is aanzienlijk, aangezien FreeScout vaak wordt gebruikt voor gevoelige communicatie en klantgegevens. Dit soort XSS-aanvallen kunnen ook worden gebruikt om phishing-aanvallen uit te voeren, waarbij gebruikers worden misleid om hun inloggegevens in te voeren.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er is geen indicatie van actieve exploitatie op dit moment, maar de lage complexiteit van de exploitatie maakt het waarschijnlijk dat deze in de toekomst zal worden misbruikt. De kwetsbaarheid is opgenomen in het NVD-register en is mogelijk in de toekomst opgenomen in de CISA KEV catalogus. Er zijn momenteel geen publieke proof-of-concept exploits beschikbaar, maar de beschrijving van de kwetsbaarheid maakt het relatief eenvoudig om een dergelijke exploit te ontwikkelen.
Organizations utilizing FreeScout for help desk and shared mailbox management are at risk. This includes businesses of all sizes, particularly those relying on self-hosted deployments. Shared hosting environments where multiple FreeScout instances reside on a single server are especially vulnerable, as a compromise of one instance could potentially impact others.
• wordpress / composer / npm:
grep -r '<script>' /var/www/freescout/app/Http/Controllers/MailboxesController.php
grep -r 'event handler' /var/www/freescout/app/Misc/Helper.php• generic web:
curl -I http://your-freescout-instance/mailboxes/signatures/new | grep -i content-security-policydisclosure
Exploit Status
EPSS
0.03% (10% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van FreeScout naar versie 1.8.213 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) om XSS-aanvallen te blokkeren. Configureer de WAF om input van de mailbox signature feature te filteren op verdachte HTML-tags en event handler attributen. Controleer ook de FreeScout configuratie op onnodige functionaliteit die de kwetsbaarheid kan verergeren. Na de upgrade, verifieer de fix door een mailbox signature te creëren met een test-HTML payload (bijvoorbeeld <img src=x onerror=alert('XSS')>) en controleer of de payload niet wordt uitgevoerd.
Werk FreeScout bij naar versie 1.8.213 of hoger om de XSS kwetsbaarheid te mitigeren. Deze versie corrigeert de HTML sanitatie in mailbox signatures, door gevaarlijke event handler attributen te verwijderen en ervoor te zorgen dat alleen veilige HTML tags zijn toegestaan.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-40568 is a stored cross-site scripting (XSS) vulnerability in FreeScout versions 1.0.0 through 1.8.212, allowing attackers to inject malicious scripts via mailbox signatures.
You are affected if you are running FreeScout versions 1.0.0 through 1.8.212. Verify your version and upgrade immediately if vulnerable.
Upgrade FreeScout to version 1.8.213 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation.
As of the current disclosure date, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation warrants caution.
Refer to the FreeScout security advisory on their official website or GitHub repository for detailed information and updates.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.