CVE-2026-53595

概要

FreeScout は、PHPのLaravelフレームワークで構築された無料のヘルプデスク兼共有受信トレイです。バージョン1.8.224より前では、公開エンドポイント `POST /user-setup/{hash}/{invite_sent_at}`（`OpenController@userSetupSave`）が、ターゲットアカウントをその `invite_hash` カラムのみで選択し、そのアカウントのメールアドレスとパスワードを上書きして、そのアカウントとしてログインします。認証、Cookie、事前のセッションは一切不要です。ユーザーがアクティベーション後に、FreeScout は `invite_hash` を空文字列に設定します。MySQL と MariaDB では、`VARCHAR` の等価比較は末尾のスペースを無視するため、URLエンコードされた単一のスペース（`%20`）は保存された空文字列と一致し、最もIDが小さいアクティブ化済みユーザーを選択します。有効期限ガードは `invite_sent_at` をターゲットのパスワードハッシュで復号しますが、`Helper::decrypt` は復号に失敗した場合、その生の入力を変更せずに返します。したがって、`9999999999` のような平文の数値は、秘密情報なしで有効期限（TTL）チェックを通過します。その結果、匿名の攻撃者は、最もIDが小さいアクティブ化済み FreeScout アカウント（サポートエージェント、または招待によって追加された場合は管理者）のメールアドレスとパスワードを設定し、そのアカウントとして認証できます。バージョン1.8.224には修正が含まれています。

• CVE-2026-53595_exploitエクスプロイト

  CVE-2026-53595（匿名アカウント乗っ取り）とCVE-2026-53593（.phtアップロード）を連鎖させたエクスプロイトスクリプト。FreeScoutヘルプデスクソフトウェアでの認証なしリモートコード実行を実現します。