CVE-2026-63146
KrytyczneCVSS 9.8Streszczenie
Projekt Omnispace Agora przed wersją 26.10.0 zawiera podatność na wstrzyknięcie kodu, gdzie niescapowane, kontrolowane przez atakującego wartości są zapisywane do pliku konfiguracyjnego config.inc.php podczas instalacji przez File::updateConfigFile() i DbInstall::dbControl(), w połączeniu z podatnością na wstrzyknięcie SQL umożliwioną przez PDO::ATTR_EMULATE_PREPARES obsługujące zapytania skumulowane. Atakujący mogą wykorzystać wstrzyknięcie SQL do ponownego uruchomienia instalatora i wstrzyknięcia dowolnego kodu PHP do config.inc.php, osiągając nieuwierzytelnione zdalne wykonanie kodu na systemie.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie systemu przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji systemu lub użycia go jako punktu wyjścia do dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Omnispace Agora do wersji 26.10.0 lub nowszej oraz sprawdzenie integralności plików konfiguracyjnych.
Inne podatności w Omnispace Agora
Zobacz wszystkie- CVE-2025-67077Wysokie
Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom, a w pewnych warunkach także gościom, na przesyłanie plików przez akcję UploadTmpFile.
- CVE-2025-67076Wysokie
Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przechodzenie po katalogach, która pozwala nieuwierzytelnionym atakującym na odczyt plików w systemie przez kontroler misc i akcję ExternalGetFile. Można odczytać tylko pliki z rozszerzeniem.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains a code injection vulnerability where unescaped, attacker-controlled values are written into the config.inc.php configuration file during installation through File::updateConfigFile() and DbInstall::dbControl(), combined with an SQL injection issue enabled by PDO::ATTR_EMULATE_PREPARES supporting stacked queries. Attackers can exploit the SQL injection to re-trigger the installer and inject arbitrary PHP code into config.inc.php, achieving unauthenticated remote code execution on the underlying system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS