CVE-2025-54366
Mis à jour :
Exécution de Code à Distance via Désérialisation Dangereuse dans FreeScout
Une faille de sécurité critique, identifiée par CVE-2025-54366, a été découverte dans FreeScout, affectant les versions 1.8.185 et antérieures. Cette vulnérabilité, localisée dans le point de terminaison /conversation/ajax, permet à un utilisateur authentifié possédant la APP_KEY d’exécuter du code à distance.
L’exploitation repose sur la fonction Helper::decrypt() qui désérialise de manière non sécurisée les paramètres attachments_all et attachments reçus via des requêtes POST. L’absence de validation adéquate des données contrôlées par l’utilisateur permet la création d’objets arbitraires et la manipulation de leurs propriétés, pouvant mener à une compromission totale de l’application web.
La vulnérabilité a été corrigée dans la version 1.8.186 de FreeScout.