CVE-2026-53595

总结

FreeScout 是一款使用 PHP 的 Laravel 框架构建的免费帮助台和共享收件箱。在 1.8.224 版本之前，公开端点 `POST /user-setup/{hash}/{invite_sent_at}`（`OpenController@userSetupSave`）仅通过其 `invite_hash` 列来选择目标账户，然后覆盖该账户的电子邮件和密码并以该账户身份登录。此过程无需任何身份验证、Cookie 或先前的会话。用户激活后，FreeScout 会将 `invite_hash` 设置为空字符串。在 MySQL 和 MariaDB 中，`VARCHAR` 的相等性比较会忽略尾随空格，因此单个 URL 编码的空格（`%20`）可以匹配存储的空字符串，并选择 ID 最低的已激活用户。过期保护会使用目标的密码哈希来解密 `invite_sent_at`，但当解密失败时，`Helper::decrypt` 会原样返回其原始输入。因此，诸如 `9999999999` 之类的明文数字值无需任何密钥即可通过生存时间检查。结果是，匿名攻击者可以设置 ID 最低的已激活 FreeScout 账户（支持代理，或如果通过邀请添加了管理员，则为管理员）的电子邮件和密码，并以该账户身份进行身份验证。版本 1.8.224 包含修复程序。

• CVE-2026-53595_exploit漏洞利用

  利用脚本结合 CVE-2026-53595（匿名账户接管）和 CVE-2026-53593（.pht 文件上传），在 FreeScout 帮助台软件上实现未经认证的远程代码执行。