CVE-2026-27637

FreeScout: przewidywalny token uwierzytelniający umożliwia przejęcie konta

CVSS 9.8v3.1pub. 2026-02-25upd. 2026-02-26

FreeScout przed wersją 1.8.206 używa przewidywalnego tokenu uwierzytelniającego opartego na algorytmie MD5, który może zostać odtworzony przez atakującego znającego klucz APP_KEY. Umożliwia to pełne przejęcie dowolnego konta użytkownika, w tym administratora, bez znajomości hasła.

▸ Pokaż oryginał (EN)

FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to version 1.8.206, FreeScout's `TokenAuth` middleware uses a predictable authentication token computed as `MD5(user_id + created_at + APP_KEY)`. This token is static (never expires/rotates), and if an attacker obtains the `APP_KEY` — a well-documented and common exposure vector in Laravel applications — they can compute a valid token for any user, including the administrator, achieving full account takeover without any password. This vulnerability can be exploited on its own or in combination with CVE-2026-27636. Version 1.8.206 fixes both vulnerabilities.

🤖 Analiza AI

Jak działa

Middleware `TokenAuth` oblicza token uwierzytelniający jako MD5 z połączenia identyfikatora użytkownika, daty jego utworzenia oraz klucza aplikacji APP_KEY. Token jest statyczny — nigdy nie wygasa ani nie jest rotowany. Klucz APP_KEY w aplikacjach opartych na frameworku Laravel jest dobrze udokumentowanym wektorem wycieku (np. poprzez ujawnione pliki konfiguracyjne). Dysponując APP_KEY, atakujący może samodzielnie wyliczyć prawidłowy token dla dowolnego użytkownika i uwierzytelnić się bez podawania hasła. Podatność może być wykorzystana samodzielnie lub w połączeniu z CVE-2026-27636.

Skutki

Atakujący może bez znajomości hasła przejąć pełną kontrolę nad dowolnym kontem użytkownika systemu FreeScout, w tym kontem administratora, co prowadzi do naruszenia poufności, integralności i dostępności danych helpdesku.

Mitygacja

Należy zaktualizować FreeScout do wersji 1.8.206, która usuwa tę podatność. Dodatkowo zaleca się rotację klucza APP_KEY oraz unieważnienie istniejących tokenów uwierzytelniających.