CVE-2026-41902: FreeScout: token de convite de configuração sem expiração permite tomada de conta
As versões do FreeScout anteriores à 1.8.217 aceitam um hash de convite de configuração de usuário que não expira, de modo que um convite vazado pode ser usado meses ou anos depois para definir uma senha. O CNA do GitHub atribuiu nota 9.1 (crítica, CVSS 3.1) e classificou a falha como CWE-613. Segundo o registro, a correção está na versão 1.8.217 e a falha não consta no catálogo KEV da CISA.
Visão geral
O FreeScout é uma central de atendimento gratuita e caixa de entrada compartilhada, construída sobre o framework Laravel. Segundo o aviso de segurança do GitHub, as versões anteriores à 1.8.217 expõem um endpoint de configuração de usuário cujo hash de convite não expira até ser utilizado, de modo que um convite vazado ainda pode definir uma senha muito tempo depois de emitido.
Impacto
- Tomada de conta: quem possuir um hash de convite vazado pode, em tese, definir uma nova senha para a conta associada sem estar autenticado.
- Risco de acesso administrativo: se o convite foi enviado a um administrador, a tomada de conta concede acesso administrativo.
- Janela de exposição prolongada: como não há verificação de expiração, convites vazados permanecem utilizáveis por meses ou anos.
O CNA atribuiu nota 9.1 pelo CVSS 3.1, com alto impacto de confidencialidade e integridade e sem impacto de disponibilidade.
Produtos e versões afetadas
O registro identifica as versões do FreeScout anteriores à 1.8.217 como afetadas. A lista estruturada de itens afetados no registro está vazia, portanto nenhum outro detalhe de produto ou versão é confirmado.
Status de exploração
O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro inclui uma probabilidade EPSS de 0,0042, com percentil de 0,34566.
Correção e mitigação
- Atualize o FreeScout para a versão 1.8.217, que a tag de lançamento identifica como a versão com a correção.
- Até a atualização, revise os convites de usuário pendentes e remova os que não são mais necessários, quando o produto permitir.
- Revise contas de administrador e alterações recentes de senha em busca de algo inesperado.
- Reduza o risco de vazamento restringindo quem acessa e-mails de convite e páginas de configuração, e revisando recursos de terceiros carregados nessas páginas.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições a caminhos de configuração de usuário vindas de origens inesperadas ou feitas muito tempo após a emissão dos convites.
- Procure alterações de senha em contas cujos convites eram antigos ou nunca foram aceitos, com atenção especial às contas de administrador.
- Compare as alterações de conta com as datas originais dos convites registradas pela aplicação.
Limitações das informações disponíveis
O registro não descreve a mudança técnica exata feita na versão 1.8.217, incluindo se convites emitidos antes da atualização são invalidados. As listas estruturadas de itens afetados e correções estão vazias, e o status da fonte consta como Deferred sem explicação adicional. Os dados de exploração se limitam aos campos KEV e EPSS.
Perguntas frequentes
Esta vulnerabilidade do FreeScout está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
O registro informa que a falha foi corrigida na versão 1.8.217 do FreeScout.
O que administradores devem fazer se não puderem atualizar imediatamente?
Revisar convites pendentes, verificar contas de administrador e alterações recentes de senha, e limitar a exposição de e-mails de convite e páginas de configuração até a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.