平台
php
组件
freescout-help-desk
修复版本
1.8.214
CVE-2026-40568 描述了 FreeScout 帮助台软件中存在的跨站脚本攻击 (XSS) 漏洞。该漏洞允许攻击者通过恶意构造的邮箱签名注入脚本，从而可能窃取用户数据或执行恶意操作。该漏洞影响 FreeScout 版本 1.0.0 到 1.8.213。建议立即升级到 1.8.213 版本以消除此风险。
该 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受害用户的浏览器中执行任意 JavaScript 代码。这可能导致攻击者窃取用户的敏感信息，例如登录凭据、个人数据等。此外，攻击者还可以利用此漏洞重定向用户到恶意网站，或在 FreeScout 界面上显示虚假信息，从而欺骗用户。由于 FreeScout 通常用于处理客户支持请求和共享邮箱，因此该漏洞可能导致大规模的数据泄露和声誉损害。
该漏洞已于 2026 年 4 月 21 日公开披露。目前尚无公开的利用代码，但由于 XSS 漏洞的普遍性，预计未来可能会出现利用代码。建议密切关注安全社区的动态，并及时采取必要的安全措施。该漏洞的 CVSS 评分为 8.5 (高)，表明其具有较高的风险等级。
Organizations utilizing FreeScout for help desk and shared mailbox management are at risk. This includes businesses of all sizes, particularly those relying on self-hosted deployments. Shared hosting environments where multiple FreeScout instances reside on a single server are especially vulnerable, as a compromise of one instance could potentially impact others.
• wordpress / composer / npm:
grep -r '<script>' /var/www/freescout/app/Http/Controllers/MailboxesController.php
grep -r 'event handler' /var/www/freescout/app/Misc/Helper.php• generic web:
curl -I http://your-freescout-instance/mailboxes/signatures/new | grep -i content-security-policydisclosure
漏洞利用状态
EPSS
0.03% (10% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 FreeScout 升级到 1.8.213 或更高版本。如果升级不可行，可以尝试以下临时缓解措施：首先，禁用或限制邮箱签名功能的使用。其次，实施严格的输入验证和输出编码策略，以防止恶意脚本注入。第三，配置 Web 应用防火墙 (WAF) 或代理服务器，以过滤潜在的 XSS 攻击。最后，定期审查 FreeScout 的配置和代码，以识别和修复潜在的安全漏洞。
将 FreeScout 更新到 1.8.213 或更高版本以缓解 XSS 漏洞。此版本修复了邮箱签名中的 HTML 清理，删除了危险的事件处理程序属性，并确保仅允许安全的 HTML 标签。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-40568 是 FreeScout 帮助台软件中发现的跨站脚本攻击 (XSS) 漏洞，影响版本 1.0.0 到 1.8.213。攻击者可以通过邮箱签名功能注入恶意脚本。
如果您正在使用 FreeScout 1.0.0 到 1.8.213 版本，则您可能受到此漏洞的影响。请立即升级到 1.8.213 或更高版本。
最有效的修复方法是升级到 FreeScout 1.8.213 或更高版本。如果无法升级，请考虑禁用邮箱签名功能或实施输入验证和输出编码策略。
目前尚无公开的利用代码，但由于 XSS 漏洞的普遍性，预计未来可能会出现利用代码。建议密切关注安全动态。
请访问 FreeScout 官方网站或安全公告页面，查找有关 CVE-2026-40568 的官方公告和修复说明。