CVE-2026-53593

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.224

Description Uma lista de negação incompleta na variável Helper::$restricted extensions não bloqueia a extensão de arquivo .pht. Isso permite que um agente autenticado faça o upload de um web shell através do endpoint POST /uploads/upload (SecureController@upload), que armazena arquivos no diretório acessível via web storage/app/public/uploads/. Em implantações padrão do Apache usando libapache2-mod-php, o servidor executa arquivos .pht, permitindo que o invasor execute comandos arbitrários como o usuário do servidor web (www-data).

Recommendations Atualizar para a versão 1.8.224.