FICHE CVE

CVE-2025-48477

Publiée le 2025-05-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations auto-hébergées de FreeScout antérieures à la version 1.8.180 sont affectées par une faille dans la manière dont l'application gère les mises à jour des objets de boîte mail. Un attaquant disposant d'un compte utilisateur standard peut contourner certaines étapes logiques requises pour modifier des attributs de boîte mail qu'il ne devrait pas pouvoir changer. Cette exploitation est facile à exécuter via le réseau et ne nécessite qu'une authentification basique, sans interaction particulière de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-841

Publiée2025-05-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.180, the application's logic requires the user to perform a correct sequence of actions to implement a functional capability, but the application allows access to the functional capability without correctly completing one or more actions in the sequence. The leaves the attributes of Mailbox object able to be changed by the fill method. This issue has been patched in version 1.8.180.