FreeScout: Improper Authorization in Phone Conversation Creation Enables Cross-Mailbox Hidden Customer Modification

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• freescout-help-desk freescout

  • < 1.8.214затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-53595FreeScout vulnerable to anonymous account takeover via /user-setup empty invite_hash on MySQL
  38Наблюдать
• CVE-2026-41902FreeScout's user invitation hash never expires: permanent unauthenticated account takeover if invite link leaks
  36Наблюдать
• CVE-2026-41193FreeScout has Zip Slip path traversal in module installation that allows arbitrary file write leading to RCE
  36Наблюдать
• CVE-2026-40569FreeScout's Mass Assignment in Mailbox Connection Settings Enables Silent Email Exfiltration
  36Наблюдать
• CVE-2026-53593FreeScout Vulnerable to Authenticated Remote Code Execution via incomplete upload extension denylist (.pht) — bypass of CVE-2025-48471
  35Наблюдать
• CVE-2026-53591FreeScout Vulnerable to Unauthenticated Conversation Thread Injection via HMAC Length Bypass in FetchEmails
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.