FreeScout 是一个使用 PHP 的 Laravel 框架构建的免费帮助台和共享收件箱。1.8.208 及以下版本存在存储型跨站脚本攻击 (XSS) 漏洞，该漏洞通过 FreeScout 的电子邮件通知模板利用。传入的电子邮件正文在数据库中未经过 sanitization，并在使用 Blade 的 raw 输出语法 {!! $thread->body !!} 发送的 outgoing 电子邮件通知中未进行转义。未经身份验证的攻击者只需发送一封电子邮件即可利用此漏洞，并在任何订阅的代理或管理员将其作为其正常工作流程的一部分打开时，

此 XSS 漏洞允许未经身份验证的攻击者通过发送特制的电子邮件来注入恶意 HTML 代码。当任何订阅的代理或管理员在正常工作流程中打开这些电子邮件时，攻击代码将被执行。攻击者可以利用此漏洞窃取用户会话 cookie、重定向用户到恶意网站或执行其他恶意操作。由于漏洞的普遍性，攻击者可以影响所有 FreeScout 用户，而无需任何身份验证。攻击者可以利用此漏洞进行大规模攻击，影响大量用户。

Organizations using FreeScout as a help desk or shared inbox solution are at risk, particularly those running versions 1.8.208 or earlier. Shared hosting environments where FreeScout is installed are especially vulnerable, as a compromise of one tenant could potentially impact others. Any organization handling sensitive customer data through FreeScout should prioritize patching.

• linux / server:

journalctl -u freescout | grep -i "html injection"

• generic web:

curl -I https://your-freescout-instance.com/emails/ | grep -i "content-type: text/html"

• wordpress / composer / npm: (Not applicable as FreeScout is not a WordPress plugin) • database (mysql, redis, mongodb, postgresql): (Not applicable, vulnerability is in the application layer) • windows / supply-chain: (Not applicable, FreeScout is typically deployed on Linux servers)

1. 2026-03-19Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-03-19
3. 修改日期2026-03-23
4. EPSS 更新日期2026-03-27

最有效的缓解措施是立即将 FreeScout 升级至版本 1.8.209 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以尝试以下临时缓解措施：在 Blade 模板中使用 {{ $thread->body }} 而不是 {!! $thread->body !!} 来转义电子邮件正文。实施严格的输入验证和 sanitization，以防止恶意代码进入数据库。考虑使用 Web 应用防火墙 (WAF) 来检测和阻止 XSS 攻击。