FICHE CVE

CVE-2025-48478

Publiée le 2025-05-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations auto-hébergées de FreeScout antérieures à la version 1.8.180 sont affectées par une faille d'affectation massive lors de la création d'utilisateurs. Un attaquant disposant déjà de privilèges administratifs de haut niveau peut exploiter cette vulnérabilité via le réseau pour manipuler des champs d'utilisateur non autorisés, augmentant ainsi potentiellement son contrôle sur le système. Aucune interaction de l'utilisateur n'est requise pour exécuter cette attaque.

CVSS 4.07.0 ÉLEVÉE

Type de faiblesse

CWE-841

Publiée2025-05-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.180, insufficient input validation during user creation has resulted in a mass assignment vulnerability, allowing an attacker to manipulate all fields of the object, which are enumerated in the $fillable array (the User object), when creating a new user. This issue has been patched in version 1.8.180.