关键信息 漏洞概述 漏洞类型: 反序列化不受信任的数据导致远程代码执行 (RCE) CVE ID: CWE-502: 反序列化不受信任的数据 CAPEC ID: 586: 对象注入 CVSS v4.0 基本评分: 8.6 (AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) 影响版本与修复版本 受影响版本: 1.8.185 已修复版本: 1.8.186 描述 产品: FreeScout 版本: 1.8.182 描述: 应用程序对可以被篡改的数据进行反序列化。攻击者可以创建任意类的对象，并完全控制其属性，从而操纵Web应用程序的逻辑。 易受攻击的场景: /help/(mailbox_id)/auth/(customer_id)/(hash)/(timestamp) 易受攻击的参数: - customer_id - timestamp 利用条件: APP_KEY 知识 研究人员 Danil Satyaev, Roman Cheremykhk, Artem Danilov (Positive Technologies) 易受攻击的代码 利用情景 HTTP 请求示例: 序列化有效载荷示例: