FICHE CVE

CVE-2025-48476

Publiée le 2025-05-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations auto-hébergées du centre d'assistance FreeScout antérieures à la version 1.8.180 sont concernées. Un attaquant disposant d'un compte avec des privilèges restreints et des permissions permettant de modifier d'autres utilisateurs peut écraser le mot de passe de n'importe quel utilisateur pour prendre le contrôle total de son compte. Cette action est facile à exécuter via le réseau et ne nécessite qu'une connexion authentifiée standard.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-841

Publiée2025-05-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.180, when adding and editing user records using the fill() method, there is no check for the absence of the password field in the data coming from the user, which leads to a mass-assignment vulnerability. As a result, a user with the right to edit other users of the system can change their password, and then log in to the system using the set password. This issue has been patched in version 1.8.180.