CVE-2026-27637: FreeScout: token de autenticação previsível permite tomada de conta

Visão geral

O FreeScout é uma central de atendimento e caixa de entrada compartilhada construída sobre o framework Laravel do PHP. Segundo o registro, o middleware TokenAuth depende de um token de autenticação previsível, derivado de um identificador de usuário, do horário de criação da conta e da chave da aplicação. Como o token é estático e não é renovado, a falha é classificada como CWE-330 (Uso de Valores Insuficientemente Aleatórios).

Impacto

Se a chave da aplicação for conhecida por um terceiro, essa pessoa poderia forjar tokens válidos para qualquer conta, inclusive de administradores, sem conhecer a senha.
O registro atribui pontuação base CVSS de 9.8 (crítica), e o vetor indica alto impacto na confidencialidade, integridade e disponibilidade.
A descrição informa que a falha pode ser usada isoladamente ou combinada com a CVE-2026-27636, que não é detalhada neste registro.

Produtos e versões afetadas

Freescout Freescout: anteriores à 1.8.206.
Freescout-help-desk Freescout: anteriores à 1.8.206.
Versão corrigida: 1.8.206.

Status de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. O registro traz o valor de exploração SSVC poc, que indica possível existência de prova de conceito, mas não mostra ataques observados. Uma referência de aviso está marcada como relacionada a exploração, porém o registro não descreve seu conteúdo. A probabilidade EPSS é 0.00939, com percentil de 0.60563.

Correção e mitigação

Atualize o FreeScout para a versão 1.8.206 ou superior, que, segundo o registro, corrige as duas vulnerabilidades relacionadas.
Revise o commit de correção indicado pelo fornecedor para confirmar que a alteração corresponde à sua implantação.
Se houver qualquer possibilidade de a chave da aplicação ter sido exposta, planeje a rotação do APP_KEY após a atualização. Essa é uma inferência a partir do desenho da falha; a troca da chave também invalidará sessões existentes e dados criptografados que dependem dela.
Restrinja o acesso a arquivos de ambiente e configuração e a backups que contenham a chave da aplicação.

Orientações de detecção

Revise contas de administradores e usuários em busca de acessos, alterações de senha ou ações que o titular não reconheça.
Verifique os logs do servidor web e da aplicação em busca de requisições autenticadas de origens desconhecidas ou padrões de acesso incomuns.
Confirme que todas as instâncias, inclusive bifurcações ou cópias fora do controle central, estão na versão 1.8.206 ou superior.

Limitações das informações disponíveis

O registro não descreve a CVE-2026-27636, por isso sua contribuição para um ataque combinado não pode ser avaliada aqui. O aviso do fornecedor e o commit de correção foram citados, mas seu conteúdo completo não foi analisado para este resumo. O registro não informa se há exploit público além do valor SSVC e da referência marcada, nem dados sobre o número de instalações expostas.

Perguntas frequentes

Quais versões do FreeScout são afetadas?

Segundo o registro, os produtos afetados são as versões anteriores à 1.8.206. A versão 1.8.206 é a versão corrigida.

Um atacante pode assumir uma conta sem a senha?

O registro afirma que, se a chave da aplicação for obtida, é possível gerar um token válido para qualquer usuário, o que permitiria a tomada da conta sem a senha. Isso depende de a chave estar exposta.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O registro mostra, porém, o valor de exploração SSVC poc.

O que os administradores devem fazer primeiro?

Atualizar para a versão 1.8.206 ou superior. Se a chave da aplicação puder ter sido exposta, planeje a sua rotação e revise as contas em busca de atividades inesperadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.