CVE-2026-40498

FreeScout pulsuz və özünə məxsus hostinqdə yerləşdirilən yardım mərkəzi və ortaq poçt qutusudur. Versiya 1.8.213-dən əvvəl autentifikasiya olunmamış hücumçu yalnız administratorlar üçün məhdudlaşdırılmalı olan diaqnostika və sistem alətlərinə daxil ola bilər. /system/cron son nöqtəsi (endpoint) APP_KEY-dən törəmiş statik MD5 heşindən istifadə edir ki, bu da cavablarda və loqlarda açıq şəkildə görünür. Bu son nöqtələrə giriş həssas server məlumatlarının üzə çıxmasına (Full Path Disclosure), proses ID-lərinin görünməsinə səbəb olur və hər hansı bir sürət məhdudiyyəti olmadan ağır fon tapşırıqlarını təkrarən tetikləməklə resursların tükənməsinə (DoS) şərait yaradır. Cron heşi md5(APP_KEY . 'web_cron_hash') vasitəsilə generasiya edilir. Bu heş tez-tez GET sorğuları vasitəsilə ötürüldüyü üçün server loqlarında, brauzer tarixçəsində və proksi loqlarında ifşa olmağa meyillidir. Bundan əlavə, bu son nöqtələrdə sürət məhdudiyyətinin olmaması avtomatlaşdırılmış resurs tükənməsinə (DoS) və brute-force cəhdlərinə yol açır. Versiya 1.8.213 bu problemi aradan qaldırır.