CVE-2026-103984

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.231

Descrição Quando a configuração limit user customer visibility está ativada, a ação AJAX load customer info realiza uma busca global usando um e-mail de cliente fornecido pelo usuário e verifica apenas se o agente tem acesso a uma caixa de correio especificada. Isso permite que um agente não administrador recupere o perfil renderizado de um cliente não relacionado ao especificar uma caixa de correio à qual tenha acesso, ignorando a verificação CustomerPolicy::view(). Os dados expostos podem incluir nomes, endereços de e-mail, números de telefone, informações de empresa e cargo, endereços postais, perfis sociais, sites e notas internas confidenciais do agente.

Recomendações Atualizar para a versão 1.8.231.