⬇ Scarica il santino: ·
San Mail2Shell, che apriva con uno spazio invisibile
Patrono degli help desk via email, dei controlli sui nomi dei file e degli spazi a larghezza zero.
Vita
Nel marzo 2026 i ricercatori di OX Security pubblicarono Mail2Shell, la CVE-2026-28289 in FreeScout, help desk scritto in PHP. Era l'aggiramento di una correzione precedente: premettendo uno spazio a larghezza zero al nome di un file, si superava il nuovo controllo e il file veniva salvato come un .htaccess. Secondo i ricercatori, inviando una sola email a un indirizzo gestito da FreeScout, senza autenticarsi e senza che nessuno cliccasse nulla, si otteneva l'esecuzione di codice.
Preghiera
O San Mail2Shell, che entri con un carattere che non si vede, insegna ai nostri controlli a guardare anche ciò che non appare. Amen.
Come si festeggia
Si festeggia aggiornando FreeScout alla 1.8.207, disattivando AllowOverride e normalizzando ogni nome di file prima di crederci.
Spazio invisibile, danno visibilissimo.