CVE-2026-63165
WysokieCVSS 8.1Streszczenie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
Ocena ryzyka
Możliwość wyciągnięcia poufnych informacji z bazy danych, w tym danych o wersji i potencjalnie innych danych aplikacji. Może to ułatwić dalsze ataki na system.
Rekomendacja
Zaktualizuj Omnispace Agora do wersji 26.10.0 lub nowszej. Wprowadź walidację i parametryzację parametru sortEvents zamiast konkatenacji w klauzuli ORDER BY.
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2026-63174Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
- CVE-2026-63162Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na path traversal. Atakujący mogą zapisywać dowolne pliki poza docelowym katalogiem tymczasowym, podając niezakotwiczoną wartość tmpFolderName w ścieżce docelowej przesyłania. Ustawienie tmpFolderName na sekwencję przejścia do katalogu web root pozwala zapisać kontrolowane przez atakującego pliki i osiągnąć zdalne wykonanie kodu.
- CVE-2026-63161Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na session fixation. Zdalni atakujący mogą przejąć uwierzytelnione sesje, umieszczając znany identyfikator sesji w przeglądarce ofiary przed logowaniem. Aplikacja nie regeneruje identyfikatora sesji po pomyślnym uwierzytelnieniu, co pozwala uzyskać nieautoryzowany dostęp do sesji ofiary po jej zalogowaniu.
- CVE-2026-63160Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność polegająca na przechowywaniu trwałego tokenu remember-me w postaci dosłownej po stronie serwera. Przechowywana wartość jest identyczna z poświadczeniem bearer w pliku cookie użytkownika. Atakujący, który uzyska dostęp do przechowywanego tokenu, np. przez ujawnienie bazy danych lub kopii zapasowej, może odtworzyć wartość plaintext i uwierzytelnić się jako ofiara bez znajomości hasła.
- CVE-2026-63159Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na przewidywalny token resetowania hasła. Nieuwierzytelnieni atakujący mogą przejąć konta użytkowników, obliczając token resetowania jako sha1(login.hasło), czyli wartość deterministyczną i wielokrotnego użytku. Atakujący mogą wyprowadzić lub złamać token na podstawie znanych lub zgadniętych kombinacji loginu i hasła, aby sfałszować żądania resetowania hasła i przejąć dowolne konta.
- CVE-2026-63158Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na obejście uwierzytelniania. Atakujący posiadający przechowywany hash hasła bcrypt użytkownika może uwierzytelnić się jako ten użytkownik bez znajomości faktycznego hasła, ponieważ mechanizm cookie AGORAP_LOG/AGORAP_PASS traktuje przechowywany hash jako bezpośrednio odtwarzalne poświadczenie bearer. Ustawienie tych cookies ze skradzionym hashem pozwala podszyć się pod dowolnego użytkownika, w tym administratora.
- CVE-2026-63154Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie identyfikatora SQL. Administrator przestrzeni może eskalować uprawnienia, podając kontrolowane przez wywołującego nazwy agoraFields[] jako niezwalidowane identyfikatory kolumn SQL podczas importu użytkowników. Atakujący mogą wstrzyknąć uprzywilejowane nazwy kolumn, takie jak generalAdmin, lub użyć technik wstrzykiwania backtick, aby ustawić flagi administracyjne i uzyskać uprawnienia generalnego administratora.
- CVE-2026-63153Wysokie
Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na złamanie kontroli dostępu w funkcji setAffectations(). Uwierzytelniony atakujący może wstawiać rekordy uprawnień dostępu dla dowolnej przestrzeni wskazanej przez wywołującego, bez weryfikacji, czy ma do niej prawa.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains a SQL injection vulnerability in the calendar functionality that allows attackers to inject malicious SQL by manipulating the sortEvents parameter, which is concatenated into the ORDER BY clause without sanitization in app/ModCalendar/CtrlCalendar.php. Attackers can exploit this flaw using error-based techniques such as extractvalue payloads to extract database information, including version data, from the underlying system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS