XSS dans l’affichage des détails de travaux échoués de FreeScout

Veille sécuritéFrontend

P3Élevée

FreeScout avant la version 1.8.230 est affecté par une XSS stockée dans les détails d’un travail d’alerte échoué, sous une combinaison de conditions comprenant le suivi d’activité, l’échec d’envoi et l’interaction d’un administrateur. Un attaquant non authentifié peut y faire transiter du HTML via une valeur d’adresse e-mail de connexion échouée ; l’ouverture de la page de détails par un administrateur peut alors permettre l’exécution de JavaScript et des actions dans son contexte.

IdentifiantCVE-2026-85742

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.8.230

Source : NVD — CVE-2026-85742

Analyse technique

La charge est rendue dans la page /system/ajax-html/job_details/{id} après échec de livraison d’une alerte et stockage du travail dans failed_jobs ; le chemin modal normal n’est pas affecté selon la description fournie.

Impact, versions et correctif

Événement datéLa fiche fournie indique une publication le 2026-11-06T18:18:21.143Z, dans la période demandée ; elle indique également le correctif 1.8.230.

ImpactExécution de JavaScript dans le contexte de l’administrateur et possibilité d’actions same-origin.

Versions affectéesFreeScout antérieur à 1.8.230

Version corrigée1.8.230

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-11-06T18:18:21.143Z

Mise à jour2026-11-06T18:18:21.143Z

Action recommandée

Mettre à jour FreeScout vers la version 1.8.230 ou ultérieure.

Sources

NVD — CVE-2026-85742

Priorisation DFS : P3 · 1 source(s).