CVE-2026-53595: Vulnerabilidad crítica en FreeScout – Riesgo de acceso anónimo

Resumen ejecutivo

¿Qué es la vulnerabilidad?

FreeScout es un sistema de help desk y bandeja compartida construido sobre el framework Laravel de PHP. Antes de la versión 1.8.224, el endpoint público POST /user-setup/{hash}/{invite_sent_at} (controlador OpenController@userSetupSave) selecciona la cuenta objetivo únicamente por la columna invite_hash. Luego sobrescribe el correo electrónico y la contraseña de esa cuenta y autentica al usuario sin requerir ninguna autenticación previa, cookie o sesión.

Una vez que el usuario activa la invitación, FreeScout asigna a invite_hash una cadena vacía. En MySQL y MariaDB, la igualdad de VARCHAR ignora los espacios finales, por lo que un espacio codificado en URL (%20) coincide con la cadena vacía almacenada y selecciona al usuario activado con el ID más bajo. La guardia de expiración descifra invite_sent_at con el hash de contraseña del objetivo, pero Helper::decrypt devuelve la entrada sin cambios cuando la descifrado falla. Un valor numérico en texto plano como 9999999999 pasa la comprobación de tiempo de vida sin necesidad de ningún secreto.

El resultado es que un atacante anónimo puede establecer el correo y la contraseña del usuario activado con el ID más bajo (normalmente un agente de soporte o un administrador) y autenticarse como ese usuario.

Productos y versiones vulnerables

Impacto y riesgo

La explotación de esta vulnerabilidad permite a un atacante:

• Modificar el correo electrónico y la contraseña de cualquier cuenta activada con el ID más bajo.
• Obtener acceso completo a la instancia de FreeScout sin necesidad de credenciales previas.
• Acceder a tickets, historial de conversaciones y datos sensibles de clientes.
• Potencialmente comprometer la infraestructura asociada, si el atacante logra escalar privilegios.

La gravedad se refleja en un CVSS de 9.4 (CRITICAL) y una puntuación de prioridad de 205, lo que indica un riesgo inmediato y alto.

Estado de explotación conocida

No se ha confirmado explotación activa en producción. No hay referencias oficiales que indiquen que atacantes están explotando esta vulnerabilidad en la actualidad.

Indicadores de compromiso (IOC)

No publicado por las fuentes consultadas.

Cómo comprobar si estás afectado

Para determinar si tu entorno de FreeScout es vulnerable, sigue estos pasos:

1. Verifica la versión instalada: freescout --version o revisa el archivo composer.json y busca la línea que indica la versión del paquete freescout.
2. Comprueba que la versión sea < 1.8.224.
3. Revisa la configuración del endpoint /user-setup/{hash}/{invite_sent_at} en el archivo de rutas de Laravel (routes/web.php o routes/api.php).
4. Confirma que la columna invite_hash se establezca en cadena vacía tras la activación del usuario.
5. Si tienes dudas, consulta con tu equipo de desarrollo o con el soporte de FreeScout.

Mitigación y actualización

La solución definitiva es actualizar a la versión 1.8.224 o superior, donde se corrige la lógica de selección de cuenta y la gestión de invite_hash. Además, se recomienda:

• Deshabilitar el endpoint /user-setup si no se utiliza.
• Forzar la generación de invite_hash con valores aleatorios y no vacíos.
• Implementar controles de acceso adicionales en el controlador OpenController@userSetupSave.
• Revisar los registros de acceso en busca de peticiones POST sospechosas a /user-setup.

Checklist para administradores

• ☐ Verificar la versión de FreeScout.
• ☐ Aplicar la actualización a la versión 1.8.224 o superior.
• ☐ Revisar la configuración del endpoint /user-setup.
• ☐ Deshabilitar el endpoint si no es necesario.
• ☐ Implementar controles de acceso adicionales.
• ☐ Monitorizar los logs de acceso.
• ☐ Informar al equipo de soporte sobre la actualización.

Preguntas frecuentes

Fuentes oficiales

• NVD – CVE-2026-53595
• GitHub Advisory – FreeScout