CVE-2026-63153
WysokieCVSS 8.1Streszczenie
Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na złamanie kontroli dostępu w funkcji setAffectations(). Uwierzytelniony atakujący może wstawiać rekordy uprawnień dostępu dla dowolnej przestrzeni wskazanej przez wywołującego, bez weryfikacji, czy ma do niej prawa.
Ocena ryzyka
Atakujący może przyznać sobie lub innym dostęp do przestrzeni poza własnym zakresem, łamiąc izolację dzierżawców i uzyskując nieautoryzowany dostęp do zastrzeżonych zasobów.
Rekomendacja
Zaktualizuj Omnispace Agora Project do wersji 26.10.0 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji setAffectations() wyłącznie do zaufanych ról administracyjnych.
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2026-63174Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63165Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
- CVE-2026-63162Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na path traversal. Atakujący mogą zapisywać dowolne pliki poza docelowym katalogiem tymczasowym, podając niezakotwiczoną wartość tmpFolderName w ścieżce docelowej przesyłania. Ustawienie tmpFolderName na sekwencję przejścia do katalogu web root pozwala zapisać kontrolowane przez atakującego pliki i osiągnąć zdalne wykonanie kodu.
- CVE-2026-63161Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na session fixation. Zdalni atakujący mogą przejąć uwierzytelnione sesje, umieszczając znany identyfikator sesji w przeglądarce ofiary przed logowaniem. Aplikacja nie regeneruje identyfikatora sesji po pomyślnym uwierzytelnieniu, co pozwala uzyskać nieautoryzowany dostęp do sesji ofiary po jej zalogowaniu.
- CVE-2026-63160Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność polegająca na przechowywaniu trwałego tokenu remember-me w postaci dosłownej po stronie serwera. Przechowywana wartość jest identyczna z poświadczeniem bearer w pliku cookie użytkownika. Atakujący, który uzyska dostęp do przechowywanego tokenu, np. przez ujawnienie bazy danych lub kopii zapasowej, może odtworzyć wartość plaintext i uwierzytelnić się jako ofiara bez znajomości hasła.
- CVE-2026-63159Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na przewidywalny token resetowania hasła. Nieuwierzytelnieni atakujący mogą przejąć konta użytkowników, obliczając token resetowania jako sha1(login.hasło), czyli wartość deterministyczną i wielokrotnego użytku. Atakujący mogą wyprowadzić lub złamać token na podstawie znanych lub zgadniętych kombinacji loginu i hasła, aby sfałszować żądania resetowania hasła i przejąć dowolne konta.
- CVE-2026-63158Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na obejście uwierzytelniania. Atakujący posiadający przechowywany hash hasła bcrypt użytkownika może uwierzytelnić się jako ten użytkownik bez znajomości faktycznego hasła, ponieważ mechanizm cookie AGORAP_LOG/AGORAP_PASS traktuje przechowywany hash jako bezpośrednio odtwarzalne poświadczenie bearer. Ustawienie tych cookies ze skradzionym hashem pozwala podszyć się pod dowolnego użytkownika, w tym administratora.
- CVE-2026-63154Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie identyfikatora SQL. Administrator przestrzeni może eskalować uprawnienia, podając kontrolowane przez wywołującego nazwy agoraFields[] jako niezwalidowane identyfikatory kolumn SQL podczas importu użytkowników. Atakujący mogą wstrzyknąć uprzywilejowane nazwy kolumn, takie jak generalAdmin, lub użyć technik wstrzykiwania backtick, aby ustawić flagi administracyjne i uzyskać uprawnienia generalnego administratora.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability in setAffectations() that allows authenticated attackers to insert access-right records for a caller-supplied target space without verifying the caller has rights to that space. Attackers can assign access affectations to spaces outside their own reach, breaking tenant isolation and granting unauthorized access to restricted spaces.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS