PT-2026-138148

CVE-2026-62852

Publicado

2026-11-06

Atualizado

2026-11-06

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.226

Description Existe um problema onde a função RealtimeConvNewThread verifica apenas o acesso geral à caixa de correio e não aplica as restrições ao nível da conversa para usuários configurados para ver apenas conversas atribuídas. Um usuário autenticado com permissões restritas pode se inscrever em canais Polycast conv.<conversation id> previsíveis para outras conversas na mesma caixa de correio. Isso pode expor dados sensíveis em payloads de novos eventos, incluindo respostas completas, notas internas, endereços de destinatários, estado da conversa, dados do atribuído, nomes de anexos e URLs de anexos contendo tokens de download válidos.

Recommendations Atualizar para a versão 1.8.226.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

CWE-862: Missing Authorization