CVE-2026-32753

FreeScout, PHP-nin Laravel freymvorku ilə qurulmuş pulsuz yardım masası və ortaq gələnlər qutusudur. 1.8.208 və daha aşağı versiyalarda, qoşma faylların baxış məntiqinin və SVG təmizləyicisinin (sanitizer) yan keçilməsi zərərli JavaScript kodu işlədən SVG faylının yüklənməsini və render edilməsini mümkün edir. image/svg+xml kontent tipi ilə .png genişlənməsinə icazə verilir və etibarsız XML zamanı işə düşən ehtiyat mexanizm təhlükəsiz olmayan təmizləməyə səbəb olur. Tətbiq hansı yüklənmiş faylların sətirdaxili (inline) render ediləcəyini məhdudlaşdırır: yalnız "təhlükəsiz" hesab edilən fayllar brauzerdə göstərilir; digərləri isə Content-Disposition: attachment ilə təqdim olunur. Bu qərar iki yoxlamaya əsaslanır: fayl genişlənməsi (məsələn, .png-yə icazə verilir, lakin .svg-yə verilməyə bilər) və bəyan edilmiş Content-Type (məsələn, image/* icazəlidir). İcazə verilən genişlənməyə malik fayl adı (məsələn, xss.png) və image/svg+xml Content-Type istifadə etməklə hücumçu hər iki yoxlamanı keçə bilər və serverin yükləməni təhlükəsiz şəkil kimi qəbul edib onu sətirdaxili render etməsinə səbəb ola bilər, halbuki gövdə SVG formatındadır və skriptləşdirilmiş davranışlar ehtiva edə bilər. Hər hansı autentifikasiya olunmuş istifadəçi xüsusi bir URL təyin edə bilər və başqa bir istifadəçi və ya administrator həmin URL-ə daxil olduqda, XSS onların adından istənilən hərəkəti yerinə yetirə bilər. Bu problem 1.8.209 versiyasında düzəldilib.