CVE-2026-40497

FreeScout, ücretsiz ve kendi sunucunuzda barındırabileceğiniz bir yardım masası ve ortak posta kutusudur. Versiyon 1.8.213 öncesinde, FreeScout'un `Helper::stripDangerousTags()` fonksiyonu `<script>`, `<form>`, `<iframe>`, `<object>` etiketlerini kaldırırken `<style>` etiketlerini kaldırmamaktadır. Posta kutusu imza alanı POST /mailbox/settings/{id} üzerinden kaydedilmekte ve daha sonra konuşma görünümlerinde `{!! $conversation->getSignatureProcessed([], true) !!}` aracılığıyla kaçış karakterleri uygulanmadan işlenmektedir. CSP, `style-src * 'self' 'unsafe-inline'` kullanımına izin verdiği için enjekte edilen satır içi stiller serbestçe çalıştırılmaktadır. Posta kutusu ayarlarına erişimi olan bir saldırgan (yönetici veya posta kutusu iznine sahip temsilci), o posta kutusundaki bir konuşmayı görüntüleyen herhangi bir temsilcinin veya yöneticinin CSRF belirtecini sızdırmak için CSS öznitelik seçicileri enjekte edebilir. Saldırgan, CSRF belirteci ile kurban adına durum değiştiren herhangi bir işlemi gerçekleştirebilir (yönetici hesapları oluşturma, e-posta/şifre değiştirme vb.), bu da temsilciden yöneticiye yetki yükseltme sağlar. Bu durum, GHSA-jqjf-f566-485j güvenlik bildiriminin eksik düzeltilmesinin bir sonucudur. Söz konusu bildirim, posta kutusu imzası üzerinden XSS raporlamıştı. Uygulanan düzeltme, kaydetmeden önce imzaya `Helper::stripDangerousTags()` işlemini uygulamıştır. Ancak, `stripDangerousTags()` yalnızca `script`, `form`, `iframe` ve `object` etiketlerini kaldırmakta olup `<style>` etiketlerini kaldırmamakta, bu da CSS enjeksiyonunu mümkün kılmaktadır. Versiyon 1.8.213 güncellenmiş bir düzeltme içermektedir.