🇰🇷 한글 설명
FreeScout 1.8.213 미만 버전에서 발생하는 취약점으로, 인증된 사용자라면 누구나 메일함 접근 권한 확인 없이 고객의 전체 프로필 데이터를 조회할 수 있습니다. 공격자는 유효한 이메일 주소만 있으면 고객의 모든 개인정보(PII)를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 고객의 상세 정보를 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이메일 주소만 알면 고객의 민감한 개인정보를 모두 가져갈 수 있어 위험합니다.
🇺🇸 원문 (English)
FreeScout is a free self-hosted help desk and shared mailbox. Prior to version 1.8.213, the `load_customer_info` action in `POST /conversation/ajax` returns complete customer profile data to any authenticated user without verifying mailbox access. An attacker only needs a valid email address to retrieve all customer PII. Version 1.8.213 fixes the issue.
📍 영향받는 시스템
FreeScout 1.8.213 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 특정 API 엔드포인트(POST /conversation/ajax)를 호출하여 권한 검증 없이 고객 정보를 요청
🛡️ 대응 방법
FreeScout를 최신 보안 패치가 적용된 버전인 1.8.213 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 FreeScout의 버전이 1.8.213 미만인지 확인하여 취약 여부를 판단합니다.
grep -r "version" /path/to/freescout/config/file 2>/dev/null || echo "Check your FreeScout version via UI or installation directory"
💻 영향받는 소프트웨어
IBM Security Verify Access