CVE-2026-62854

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.225

Descrição Um usuário com permissões para editar a assinatura de uma caixa de correio pode burlar a função Helper::stripDangerousTags() combinando fragmentos de tags aninhadas com um arquivo scriptável enviado através do endpoint '/uploads/upload'. Como o script externo resultante é servido a partir da mesma origem, ele ignora a Política de Segurança de Conteúdo (CSP) script-src 'self' quando outro usuário acessa a página de novo ticket ou o editor de resposta da caixa de correio. Isso permite que o script seja executado com os privilégios da vítima, possibilitando a leitura de dados visíveis e a realização de ações de mesma origem.

Recomendações Atualizar para a versão 1.8.225.