漏洞总结:Customer Merge Cross-Mailbox Authorization Bypass 漏洞概述 该漏洞存在于 FreeScout 软件中,被称为“客户合并跨邮箱授权绕过”(Customer Merge Cross-Mailbox Authorization Bypass)。 问题描述:该漏洞允许非管理员用户(如代理/Agent)在合并客户时绕过权限检查。 配置环境: 非管理员用户通常只能通过其分配的邮箱访问客户。 代理(Agent)被配置为可以访问 Mailbox A。 可见的源客户(Source Customer)位于 Mailbox A。 隐藏的目标客户(Target Customer)位于 Mailbox B(对代理不可见)。 攻击行为: 1. 代理合并界面不会返回隐藏的 target customer。 2. 攻击者可以直接构造 POST 请求 并传入伪造的 ,该请求依然有效。 3. 合并操作是破坏性的:目标客户会被移动到源客户处,其对话记录会被重新分配给源客户。 影响范围 受影响版本: < 1.8.212 已修复版本**: 1.8.212 修复方案 升级 FreeScout 至版本 1.8.212 或更高版本。 POC/利用代码 1. One-Command PoC (Shell Script) 2. Raw Curl Reproduction (利用脚本) 3. setup-customer-merge-lab.sh (环境重置脚本)