Faveo Helpdesk through 2.0.3 Cross-Department Ticket Disclosure via /ticket/print

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Faveo Helpdesk through 2.0.3 contains a broken access control vulnerability in TicketController::ticket_print and the pdfThread endpoint that fails to verify ticket department or assignment. Authenticated agents can request arbitrary ticket ids via GET /ticket/print/{id} to render PDFs of other departments' tickets, including full conversation threads.

Etkilenen sürümler1 yazılım

Kaynaklar8 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ommit/408076c7fa921133920decceec306b194affdcee Yama
• github.com/faveosuite/faveo-helpdesk/issues/8369 Üçüncü taraf
• vulncheck.com/…-department-ticket-disclosure-via-ticket-print Üçüncü taraf
• github.com/faveosuite/faveo-helpdesk Diğer
• github.com/…osuite/faveo-helpdesk/releases/tag/v2.0.4.RC.1 Diğer
• github.com/…ontrollers/Agent/helpdesk/TicketController.php Diğer

Kayıt geçmişi

1. 6 Kas 2026 22:14Yayımlandı

İlgili açıklar

• 7,3 CVE-2026-115973FaveoSuite Faveo Helpdesk parola sıfırlama mekanizmasında zayıf parola kurtarma açığı
• 5,3 CVE-2026-115972FaveoSuite Faveo Helpdesk'te UnAuthController.php dosyasındaki yetkilendirme eksikliği
• 6,5 CVE-2026-634372FAuth: Missing Authorization on Share Recipients Endpoint Allows Cross-User Account Enumeration
• 7,5 CVE-2026-62344Wanderer: Unauthenticated Access to Private Trails and Comments via ActivityPub Endpoints
• 6,5 CVE-2026-62852FreeScout: Missing Authorization and Exposure of Sensitive Information to an Unauthorized Actor and Authorization Bypass Through User-Controlled Key
• 4,3 CVE-2026-62851FreeScout: Cross-mailbox conversation existence / internal-id disclosure via the search-by-number (`#`) shortcut (missing mailbox authorization)