CVE-2025-58163

FreeScout, PHP'nin Laravel çerçevesi ile oluşturulmuş ücretsiz bir yardım masası ve paylaşımlı gelen kutusudur. 1.8.185 ve önceki sürümler, uygulamanın APP_KEY bilgisine sahip kimliği doğrulanmış saldırganların uzaktan kod çalıştırmasına olanak tanıyan güvenilmeyen verilerin serileştirmesi (deserialization) zafiyeti içermektedir. Zafiyet; `customer_id` ve `timestamp` parametrelerinin `app/Helper.php` dosyasındaki decrypt fonksiyonu aracılığıyla uygun doğrulama yapılmadan işlendiği `/help/{mailbox_id}/auth/{customer_id}/{hash}/{timestamp}` gibi uç noktalar üzerinden istismar edilmektedir. Kod, Laravel'in yerleşik şifreleme fonksiyonlarını kullanarak şifreyi çözer ve ardından çözülen yükü temizlemeden serileştirmeden çıkarır; bu durum, saldırganların rastgele komut çalıştırılmasını tetiklemek için sınıfları kullanarak kötü amaçlı serileştirilmiş PHP nesneleri oluşturmasına izin verir. Bu sorun 1.8.186 sürümünde düzeltilmiştir.