🇰🇷 한글 설명
FreeScout 1.8.219 미만 버전에서 비밀번호 재설정 엔드포인트가 이메일 존재 여부에 따라 서로 다른 응답을 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 헬프데스크 에이전트의 유효한 이메일 주소를 열거할 수 있습니다.
💡 쉬운 설명
비밀번호 찾기 기능을 이용해 특정 이메일이 서비스에 등록되어 있는지 확인할 수 있는 문제입니다. 공격자는 이 방법을 통해 관리자의 이메일 주소를 수집하여 다음 공격에 활용할 수 있습니다.
🇺🇸 원문 (English)
FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to 1.8.219, the password reset endpoint returns visually distinct responses depending on whether the submitted email address belongs to an existing user account, allowing unauthenticated attackers to enumerate valid helpdesk agent email addresses. This vulnerability is fixed in 1.8.219.
📍 영향받는 시스템
FreeScout 1.8.219 미만 모든 버전
⚔️ 공격 벡터
비밀번호 재설정 엔드포인트에 이메일 주소를 입력하여 응답 차이를 분석하는 방식
🛡️ 대응 방법
FreeScout를 최신 버전인 1.8.219 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 FreeScout의 버전을 확인하여 1.8.219 미만인지 확인합니다.
php artisan --version 2>/dev/null || echo 'Check FreeScout version via composer or manual file inspection'