CVE-2026-63148
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Omnispace Agora Project przed wersją 26.10.0 zawiera podatność przechowywanego Cross-Site Scripting (XSS), która pozwala uwierzytelnionym atakującym wstrzyknąć znaczniki HTML/skryptu poprzez przesłanie załącznika odpowiedzi na ankietę ze złośliwą nazwą pliku, omijającą sanityzację paramFilter stosowaną do $_FILES. Atakujący mogą przesłać spreparowaną nazwę pliku, która jest przechowywana i później renderowana w komponentach takich jak kontroler pulpitu (CtrlDashboard), wykonując dowolny skrypt w przeglądarkach użytkowników przeglądających dotkniętą stronę.
Ocena ryzyka
Uwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub innych działań w kontekście aplikacji. Ryzyko jest ograniczone, ponieważ wymaga uwierzytelnienia i interakcji użytkownika.
Rekomendacja
Zaktualizuj Omnispace Agora Project do wersji 26.10.0 lub nowszej. Wdroż dodatkowe mechanizmy sanityzacji nazw plików przesyłanych przez użytkowników.
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2025-67079Krytyczne
Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, umożliwiającą atakującym wykonanie kodu przez silnik MSL biblioteki Imagick za pomocą spreparowanego pliku PDF w funkcjach przesyłania plików i miniatur.
- CVE-2026-63171Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na wstrzyknięcie złośliwego skryptu przez opis kategorii forum zawierający podwójny cudzysłów, który przełamuje atrybut wartości HTML.
- CVE-2026-63169Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na publikowanie wiadomości z iframe kontrolowanym przez atakującego przez gałąź SafeIframe HTMLPurifier, co umożliwia automatyczne renderowanie i wykonanie JavaScriptu u odbiorców.
- CVE-2026-63168Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na utrwalenie niezneutralizowanego znaczników przez złośliwe wartości w dwuwymiarowych tablicach POST w procesie importu LDAP/osoby, omijając filtr paramsFilter().
- CVE-2026-63157Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów przez niezdezynfekowane pole adresu linku, które jest umieszczane w atrybucie onclick bez neutralizacji cudzysłowów.
- CVE-2026-63156Średnie
Podatność na odbity XSS w Omnispace Agora Project przed 26.10.0 pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych atrybutów HTML przez manipulację parametrem visioUrl, który nie był filtrowany przez sanitizację URL i był dekodowany po filtrowaniu.
- CVE-2026-63174Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63165Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject HTML/script markup by uploading a poll-response attachment with a malicious filename that bypasses the paramFilter sanitization applied to $_FILES. Attackers can submit a crafted filename that is stored and later rendered in components such as the dashboard controller (CtrlDashboard), executing arbitrary script in the browsers of users who view the affected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS