CVE-2024-28186

FreeScout PHP ilə hazırlanmış açıq mənbəli yardım masası və ortaq gələnlər qutusudur. Free Scout tətbiqində təşkilat tərəfindən istifadə olunan SMTP server etibarlılıq məlumatlarını tətbiq istifadəçilərinə ifşa edən bir boşluq aşkar edilmişdir. Bu problem tətbiqin istisnaların tam stek izlərini (stack traces) verilənlər bazasında saxlamasından qaynaqlanır. Həssas məlumatlar daha sonra `/conversation/ajax-html/send_log?folder_id=&thread_id={id}` son nöqtəsi vasitəsilə istifadəçilərə qeyri-ixtiyari şəkildə ifşa olunur. Stek izi `Swift_Transport_Esmtp_Auth_LoginAuthenticator->authenticate()` funksiyasına ötürülən istifadəçi adı və parol daxil olmaqla parametrlərin dəyərlərini üzə çıxarır. Bu boşluğun istismarı hücumçuya SMTP serverinin etibarlılıq məlumatlarına icazəsiz giriş əldə etməyə imkan verir. Hücumçu bu həssas məlumatlarla kompromisə uğramış SMTP serverindən potensial olaraq icazəsiz e-poçtlar göndərə bilər ki, bu da e-poçt kommunikasiyalarının konfidensiallığı və bütövlüyü üçün ciddi təhlükə yaradır. Bu, həm tətbiq istifadəçilərinə, həm də təşkilatın özünə qarşı hədəflənmiş hücumlara səbəb ola və e-poçt mübadiləsi serverlərinin təhlükəsizliyini poza bilər. Bu problem 1.8.124 versiyasında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etməkləri tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər aşağıdakı tədbirləri görməlidir: 1. Tam stek izlərinin saxlanmasından qaçınmaq, 2. Həssas məlumatları filtrləmək və kənarlaşdırmaq üçün redaktə mexanizmlərini tətbiq etmək və 3. Tətbiqin loqlama təcrübələrini nəzərdən keçirmək və təkmilləşdirmək.