CVE-2026-53595

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.224

Descrição O endpoint público POST /user-setup/{hash}/{invite sent at} (OpenController@userSetupSave) permite que um invasor anônimo sobrescreva o e-mail e a senha da conta ativada com o menor ID e se autentique como esse usuário. Isso ocorre porque o sistema seleciona a conta de destino com base na coluna invite hash. No MySQL e MariaDB, a igualdade VARCHAR ignora espaços finais, permitindo que um espaço codificado em URL (%20) corresponda a uma string vazia. Além disso, a função Helper::decrypt() retorna a entrada bruta quando a descriptografia falha, permitindo que um valor numérico em texto simples na variável invite sent at ignore a verificação de tempo de vida (time-to-live).

Recomendações Atualize para a versão 1.8.224.