PT-2026-34026 · Freescout · Freescout

CVE-2026-40591 · Publicado 2026-04-21 · Atualizado 2026-04-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas FreeScout versões anteriores a 1.8.214

Descrição O fluxo de criação de conversas telefônicas permite o uso de valores controlados por um invasor nos parâmetros customer id, name, to email e phone. O sistema resolve o cliente alvo no backend sem impor a visibilidade do cliente com escopo de caixa de correio. Isso permite que um agente de baixo privilégio, com permissões para criar uma conversa telefônica em uma caixa de correio, vincule essa conversa a um cliente oculto de outra caixa de correio e adicione um novo e-mail de apelido ao registro do cliente oculto por meio do parâmetro to email.

Recomendações Atualizar para a versão 1.8.214.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-40591

GHSA-9FF4-MMHV-X6JP

Produtos afetados

Freescout

Referências · 8

• 🔥 https://github.com/freescout-help-desk/freescout/security/advisories/GHSA-9ff4-mmhv-x6jp · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40591.json · Exploit
• https://github.com/freescout-help-desk/freescout/releases/tag/1.8.214 · Nota
• https://github.com/freescout-help-desk/freescout/commit/83eea1ca47d97c6cdc90c501734bc2579b014a34 · Nota
• https://twitter.com/CVEnew/status/2048910161822289946 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2048911689895051573 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-40591 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40591 · Nota de Segurança