Высокий

Опубликована

CVE-2026-62856

FreeScout: Cross-User Notification Data Disclosure via LIKE Wildcard Injection in Polycast Channel Query

Публикация: 06.11.2026·Обновлена: 06.11.2026, 20:18·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

FreeScout is a self-hosted help desk and shared mailbox application. Prior to version 1.8.226, the polycast/receive endpoint fails to escape SQL LIKE wildcards in supplied channel names, while channel authorization applies only to names with specific prefixes. An unauthenticated attacker with a guest session and valid CSRF token can submit a wildcard channel name to retrieve matching notification events intended for other users. Notification payload generation lacks a corresponding access check, exposing conversation message content, identifiers, URLs, and notification HTML across users and mailboxes. This issue is fixed in version 1.8.226.

Что это значит

Входные данные могут изменить запрос к базе данных. Проверьте доступность затронутых функций и права сервисной учётной записи.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

freescout-help-desk / freescout

{
  "status": "affected",
  "version": "< 1.8.226"
}

CVSS: оценки и векторы

CVSS 3.1 · cve7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

CVSS 3.1 · security-advisories@github.com7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-89 · SQL-инъекция CWE-200 · Раскрытие конфиденциальной информации CWE-639 · Обход авторизации через управляемый пользователем идентификатор

Источники и ссылки

Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "title": {
    "source": "cve",
    "received_at": "2026-11-06T17:07:14.303231+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-06T17:07:14.303231+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-06T17:07:14.303231+00:00"
  },
  "solutions": [],
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-06T17:07:14.303231+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены06.11.2026, 20:39
Опубликована06.11.2026, 20:07

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-85742 FreeScout: Conditional stored admin XSS via failed-job details freescout-help-desk / freescout	Высокий	7.5	—		06.11.2026
CVE-2026-62855 FreeScout: Path Traversal in App Logs Viewer Exposes Arbitrary Local Files freescout-help-desk / freescout	Высокий	4.4	—	PoC	06.11.2026
CVE-2026-103985 FreeScout: a restricted agent can lift their own admin-imposed "see only assigned conversations" restriction via profile save freescout-help-desk / freescout	Критический	7.1	—	PoC	06.11.2026
CVE-2026-103984 FreeScout: Incomplete fix for CVE-2026-40570: load_customer_info exposes cross-visibility customer PII freescout-help-desk / freescout	Высокий	6.5	—	PoC	06.11.2026
CVE-2026-85744 FreeScout: Conversation Merge Cross-Mailbox Authorization Bypass freescout-help-desk / freescout	Средний	5.4	—		06.11.2026