PT-2026-26374
CVE-2026-32753
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-03-20
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FreeScout 1.8.208 وما دونها
الوصف
FreeScout، وهو نظام لمكتب المساعدة وصندوق بريد مشترك تم تطويره باستخدام إطار عمل Laravel الخاص بلغة PHP، معرض لثغرة تسمح للمهاجمين بتحميل وتنفيذ جافا سكريبت ضار عبر ملفات SVG مصممة خصيصًا لهذا الغرض. ويتم ذلك من خلال استغلال ثغرات في منطق عرض المرفقات وآلية تنقية ملفات SVG. يسمح التطبيق بالملفات ذات الامتداد «.png» ونوع المحتوى «image/svg+xml»، وتؤدي آلية الاحتياطية الخاصة بملفات XML غير الصالحة إلى تعقيم غير كافٍ. من خلال استخدام اسم ملف بامتداد مسموح به ونوع محتوى image/svg+xml، يمكن للمهاجم تجاوز الفحوصات الأمنية وجعل الخادم يعرض ملف SVG الخبيث بشكل مضمن. يمكن لأي مستخدم تمت مصادقته إنشاء عنوان URL يمكنه، عند زيارة مستخدم آخر أو مسؤول له، تنفيذ إجراءات تعسفية نيابة عنهم. تعاني نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بتحميل الملفات من ثغرة أمنية، خاصةً عند معالجة المعلمات
filename وContent-Type. كما أن الدالة renderFile() متورطة أيضًا في عرض ملف SVG الخبيث.التوصيات
يجب تحديث إصدارات FreeScout 1.8.208 والإصدارات الأقدم إلى الإصدار 1.8.209 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾