| Title | FreeScoutにおける複数の脆弱性 |
|---|---|
| Summary | FreeScoutは無料のセルフホステッド型ヘルプデスクおよび共有メールボックスです。バージョン1.8.213以前では、認証されていない攻撃者が管理者に制限されるべき診断およびシステムツールにアクセスできてしまいました。/system/cronエンドポイントはAPP_KEYから派生した静的なMD5ハッシュに依存しており、このハッシュはレスポンスやログに露出します。これらのエンドポイントにアクセスすると、機密性の高いサーバー情報（フルパス情報漏えい）やプロセスIDが判明します。また、レート制限なしに重いバックグラウンドタスクを繰り返し起動することで、リソース枯渇（DoS攻撃）を引き起こすことが可能です。cronハッシュはmd5(APP_KEY . 'web_cron_hash')で生成されます。このハッシュはGETリクエストを介して送信されることが多く、サーバーログ、ブラウザ履歴、プロキシログで露出する恐れがあります。さらに、これらのエンドポイントに対するレート制限の欠如により、自動化されたリソース枯渇（DoS）やブルートフォース攻撃が可能になります。バージョン1.8.213でこの問題は修正されました。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 21, 2026, midnight |
| Registration Date | April 24, 2026, 11:41 a.m. |
| Last Update | April 24, 2026, 11:41 a.m. |
| CVSS3.0 : 緊急 | |
| Score | 9.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| FreeScout |
| FreeScout 1.8.213 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月24日] 掲載 |
April 24, 2026, 11:41 a.m. |
| Summary | FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.213, an unauthenticated attacker can access diagnostic and system tools that should be restricted to administrators. The /system/cron endpoint relies on a static MD5 hash derived from the APP_KEY, which is exposed in the response and logs. Accessing these endpoints reveals sensitive server information (Full Path Disclosure), process IDs, and allows for Resource Exhaustion (DoS) by triggering heavy background tasks repeatedly without any rate limiting. The cron hash is generated using md5(APP_KEY . 'web_cron_hash'). Since this hash is often transmitted via GET requests, it is susceptible to exposure in server logs, browser history, and proxy logs. Furthermore, the lack of rate limiting on these endpoints allows for automated resource exhaustion (DoS) and brute-force attempts. Version 1.8.213 fixes the issue. |
|---|---|
| Publication Date | April 22, 2026, 1:16 a.m. |
| Registration Date | April 25, 2026, 4:03 a.m. |
| Last Update | April 23, 2026, 2:34 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:freescout:freescout:*:*:*:*:*:*:*:* | 1.8.213 | ||||