关键漏洞信息 漏洞概述 漏洞类型: 不足授权 (Insufficient authorization) CVE ID: CVE-2025-48474 CVSS 评分: 5.3 / 10 (中等) 影响版本 受影响版本: <1.8.180 修复版本: 1.8.180 描述 产品: FreeScout 版本: v1.8.173 和 1.8.174 CVE-ID: CWE-863: 错误授权 CVSS 向量: v4.0:5.3 (AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:N) 描述: 应用程序错误地检查用户访问权限。攻击者可以访问不属于其授予权限的信息或功能。 漏洞场景 易受攻击的参数: 利用条件: 授权用户 易受攻击的代码: 在 文件的第 79-90 行，检查更新会话对象的权限时存在问题。 缓解措施 实施用户特权检查以执行操作。 用户不应通过直接访问应用程序页面来访问任何功能或信息。 包含机密信息的页面不应被缓存。 访问每个页面应通过与具有必要权限的用户关联的会话身份验证令牌进行限制。 访问控制机制应在服务器端执行。 建议使用防止或限制对授权机制攻击的开源库或框架，如 JAAS 授权框架和 OWASP ESAPI 访问控制。 研究发现 研究人员发现 FreeScout 中存在零日漏洞。 设置 失效，允许用户将自己分配到任意会话，绕过查看会话的限制。 用户可以通过以下代码更改会话分配的用户、状态、主题、客户等。 示例请求 研究人员 Artem Deikov, Ilya Tsaturou, Danil Satyoev, Roman Cheremnykh, Artem Danilov, Stanislav Gleyrn (Positive Technologies)