Vulnerabilidad en FreeScout (CVE-2024-29184)

FreeScout es una mesa de ayuda autohospedada y un buzón de correo compartido. Se identificó una vulnerabilidad de cross-site scripting almacenados (XSS) dentro del campo de entrada de firma de la aplicación FreeScout antes de la versión 1.8.128. El XSS almacenado ocurre cuando la entrada del usuario no se sanitiza adecuadamente y se almacena en el servidor, lo que permite a un atacante inyectar scripts maliciosos que se ejecutarán cuando otros usuarios accedan a la página afectada. En este caso, el usuario del agente de soporte puede inyectar scripts maliciosos en su firma, que luego se ejecutarán cuando los vea el administrador. La aplicación protege a los usuarios contra ataques XSS al aplicar una política de CSP, la política de CSP es: `script-src 'self' 'nonce-abcd' `. La política de CSP solo permite la inclusión de archivos JS que están presentes en el servidor de aplicaciones y no permite ningún script en línea o script que no sea nonce-abcd. La política de CSP se omitió al cargar un archivo JS en el servidor mediante una solicitud POST al endpoint /conversation/upload. Después de esto, se creó un payload XSS funcional incluyendo el enlace del archivo JS cargado como el src del script. Esto eludió la política de CSP y los ataques XSS se hicieron posibles. El impacto de esta vulnerabilidad es grave ya que permite que un atacante comprometa la aplicación FreeScout. Al explotar esta vulnerabilidad, el atacante puede realizar diversas acciones maliciosas, como obligar al administrador a ejecutar acciones sin su conocimiento o consentimiento. Por ejemplo, el atacante puede obligar al administrador a agregar un nuevo administrador controlado por el atacante, dándole así control total sobre la aplicación. Alternativamente, el atacante puede elevar los privilegios de un usuario con pocos privilegios a Administrador, comprometiendo aún más la seguridad de la aplicación. Los atacantes pueden robar información confidencial, como credenciales de inicio de sesión, tokens de sesión, información de identificación personal (PII) y datos financieros. La vulnerabilidad también puede provocar la destrucción de la Aplicación. La versión 1.8.128 contiene un parche para este problema.