🇰🇷 한글 설명
FreeScout 1.8.211 미만 버전에서 호스트 헤더 조작을 통해 생성된 절대 URL에 임의의 도메인을 주입할 수 있는 취약점이 발견되었습니다. 이로 인해 외부 리소스 로딩 및 오픈 리다이렉트 현상이 발생할 수 있습니다. 해당 문제는 1.8.211 버전에서 패치되었습니다.
💡 쉬운 설명
웹사이트의 주소 정보를 조작하여 사용자를 가짜 사이트로 몰래 이동시키거나 악성 파일을 다운로드하게 만들 수 있는 문제입니다. 공격자가 만든 가짜 주소로 연결될 위험이 있습니다.
🇺🇸 원문 (English)
FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to version 1.8.211, host header manipulation in FreeScout version (http://localhost:8080/system/status) allows an attacker to inject an arbitrary domain into generated absolute URLs. This leads to External Resource Loading and Open Redirect behavior. When the application constructs links and assets using the unvalidated Host header, user requests can be redirected to attacker-controlled domains and external resources may be loaded from malicious servers. This issue has been patched in version 1.8.211.
📍 영향받는 시스템
FreeScout 1.8.211 미만 모든 버전
⚔️ 공격 벡터
HTTP 요청의 Host 헤더를 조작하여 시스템이 생성하는 URL을 공격자의 도메인으로 변경
🛡️ 대응 방법
FreeScout를 최신 버전인 1.8.211 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 FreeScout의 버전을 확인하여 1.8.211 미만인지 확인합니다.
php artisan --version 2>/dev/null || echo 'Check FreeScout version via composer.json or application files'