Šta se desilo?

Pronađena je bezbednosna ranjivost u FreeScout aplikaciji koja omogućava napadačima da unese zlonamerni CSS kod kroz polje za potpis u poštanskom sandučetu. Ranjivost postoji zbog nepotpunog čišćenja opasnih HTML tagova, što može dovesti do krađe CSRF tokena i drugih napada na korisnike.

Koga pogađa?

Ugroženi su korisnici FreeScout verzija starije od 1.8.213. Pošto je reč o self-hosted rešenju za upravljanje korisničkom podrškom, rizik je najveći za male i srednje kompanije, kao i za organizacije koje koriste FreeScout za upravljanje zajedničkim poštanskim sandučetima.

Kako se zaštititi?

  • Odmah ažurirajte FreeScout na verziju 1.8.213 ili noviju
  • Ako ažuriranje nije moguće, ograničite pristup polju za potpis samo autorizovanim korisnicima
  • Redovno pregledajte konfiguraciju sigurnosnih tokena u aplikaciji
  • Pratite sumnjive aktivnosti u korisničkim nalogima
  • Razmislite o dodatnom zaštitnom sloju - WAF (Web Application Firewall)

Tehnički detalji

CVE-2026-40497 predstavlja stored CSS injection vulnerabilnost u FreeScout-u. Problem se nalazi u funkciji `Helper::stripDangerousTags()` koja ne uklanja do kraja sve opasne stilske tagove iz polja za potpis. Napadač može koristiti sačuvani CSS kod da ekstraktuje CSRF tokene ili izvede druge napade na korisnike koji učitavaju elektronsku poštu sa kompromitovanim potpisom.

Preporuka Sajber Radara

Ako koristite FreeScout, prioritet je hitno ažuriranje na sigurnu verziju. Posebnu pažnju obratite na user-generated kontejner kao što su potpisnici i šabloni, jer mogu postati ulazne tačke za napade.