CVE-2026-28289

FreeScout, PHP'nin Laravel çerçevesi ile oluşturulmuş ücretsiz bir yardım masası ve paylaşılan gelen kutusudur. FreeScout 1.8.206 ve önceki sürümlerde CVE-2026-27636 için mevcut olan bir yama atlatma zafiyeti, dosya yükleme izinlerine sahip herhangi bir kimliği doğrulanmış kullanıcının, güvenlik kontrolünü atlatmak için sıfır genişlikli boşluk karakteri ön eki kullanarak kötü amaçlı bir .htaccess dosyası yüklemesi yoluyla sunucuda Uzaktan Kod Çalıştırma (RCE) gerçekleştirmesine olanak tanır. Zafiyet, app/Http/Helper.php dosyasındaki sanitizeUploadedFileName() fonksiyonunda bulunmaktadır. Fonksiyon, nokta ön eki kontrolünün görünmez karakterleri kaldıran temizleme işleminden önce gerçekleştiği bir Kontrol Zamanı ile Kullanım Zamanı (TOCTOU) hatası içermektedir. Bu zafiyet 1.8.207 sürümünde giderilmiştir.