FICHE CVE

CVE-2025-48480

Publiée le 2025-05-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations auto-hébergées de FreeScout antérieures à la version 1.8.180 sont concernées. Un attaquant disposant de privilèges d'administrateur ou de permissions de modification d'utilisateur peut supprimer le fichier `.htaccess` dans le dossier de stockage public en manipulant le chemin de l'avatar d'un nouvel utilisateur. Cela nécessite une authentification de haut niveau et un accès réseau, mais aucune interaction de la part d'autres utilisateurs.

CVSS 4.07.0 ÉLEVÉE

Type de faiblesse

CWE-841

Publiée2025-05-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.180, an authorized user with the administrator role or with the privilege User::PERM_EDIT_USERS can create a user, specifying the path to the user's avatar ../.htaccess during creation, and then delete the user's avatar, resulting in the deletion of the file .htaccess in the folder /storage/app/public. This issue has been patched in version 1.8.180.