CVE-2026-40569: Atribuição em massa em configurações de conexão de caixas de correio do FreeScout

Visão geral

As versões do FreeScout anteriores à 1.8.213 contêm uma falha de atribuição em massa, associada ao CWE-284 (Controle de Acesso Inadequado), nos handlers de salvamento das configurações de conexão das caixas de correio. Segundo o registro, esses handlers repassam todos os campos da requisição ao modelo da caixa de correio sem lista de permissões, o que permite que um administrador autenticado altere campos fora do formulário de configurações de conexão. O correção é descrita na GHSA-hmqm-33wp-858j.

Impacto

O registro descreve consequências como alterações ocultas nos destinatários em cópia, nas configurações do servidor de saída, nas assinaturas de e-mail e nas respostas automáticas de uma caixa de correio. Essas mudanças podem passar despercebidas por outros administradores que revisam apenas a página de configurações de conexão. O registro informa pontuação CVSS 3.1 de 9.0 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L, o que indica alto impacto na confidencialidade e na integridade, mudança de escopo e necessidade de privilégios altos.

Produtos e versões afetados

Produto: FreeScout, aplicação self-hosted de help desk e caixa de correio compartilhada.
Afetado: versões anteriores à 1.8.213, conforme a descrição do registro.
Corrigido: versão 1.8.213, conforme a descrição do registro e a tag de release.
Os campos estruturados de versões afetadas e correções estão vazios no registro, então o intervalo de versões vem do texto da descrição.

Status de exploração

Segundo o registro, este CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não está confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o FreeScout para a versão 1.8.213 ou superior. O commit é citado no registro.
Até a atualização, restrinja contas de administrador às pessoas que realmente precisam delas e revise quem pode editar configurações de caixas de correio.
Revise as configurações gerais e de conexão de cada caixa de correio em busca de destinatários, endereços de servidor de saída, assinaturas e respostas automáticas inesperados.
Trate a segurança das sessões de administrador como parte do risco, pois o registro observa que o comprometimento de uma sessão por outra falha pode ampliar o impacto.

Orientações de detecção

Compare a configuração atual das caixas de correio com valores conhecidos como válidos, com atenção aos destinatários em cópia, ao servidor de saída, às assinaturas e às respostas automáticas.
Revise logs da aplicação e o histórico de alterações administrativas, quando disponíveis no seu ambiente, em busca de salvamentos de configurações por contas inesperadas.
Monitore e-mails de saída para identificar cópias inesperadas enviadas a endereços externos.

Limitações das informações disponíveis

O registro não traz dados estruturados de versões afetadas ou corrigidas, não traz título e não traz detalhes do KEV. As fontes não descrevem como o FreeScout registra essas alterações. A probabilidade EPSS no registro é de 0,00518, com percentil de 0,42475; trata-se de uma pontuação preditiva que não confirma exploração. O título usado aqui foi derivado da descrição.

Perguntas frequentes

Quais versões do FreeScout são afetadas?

Segundo a descrição do registro, as versões anteriores à 1.8.213 são afetadas. O campo estruturado de versões afetadas do registro está vazio.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não lista este CVE no catálogo KEV da CISA, portanto a exploração ativa não está confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer?

Atualize o FreeScout para a versão 1.8.213 ou superior, restrinja contas de administrador ao necessário e revise as configurações das caixas de correio em busca de valores inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.