ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق FreeScout هو نظام مكتب مساعدة واستضافة مشتركة للبريد. قبل الإصدار 1.8.226، تفشل نقطة النهاية polycast/receive في تجنب أحرف البدل الخاصة بلغة SQL LIKE في أسماء القنوات المُقدمة، بينما تُطبق تفويضات القنوات على الأسماء ذات البوادئ المحددة فقط. يمكن لمهاجم دون مصادقة يملك جلسة ضيف ورمز CSRF صالِح إرسال اسم قناة يتضمن حرف بدل لاسترجاع أحداث إشعارات مطابقة مخصصة لمستخدمين آخرين. يفتقر توليد حمولة الإشعارات إلى فحص وصول مقابل، مما يكشف محتوى رسائل المحادثات والمعرفات وعناوين URL وإشعارات HTML عبر المستخدمين وصناديق البريد. تم إصلاح هذه المشكلة في الإصدار 1.8.226.
المعالجة
المراجع
- مرجعhttps://github.com/freescout-help-desk/freescout/security/advisories/GHSA-gh3r-jh6q-wrvj
- مرجعhttps://github.com/freescout-help-desk/freescout/commit/1f4deee6369d89a70d291248499883b5bfdb99ff
- مرجعhttps://github.com/freescout-help-desk/freescout/commit/656cb2349cd3bb11f04f01c1587900dfb423a855
- مرجعhttps://github.com/freescout-help-desk/freescout/releases/tag/1.8.226