CVE-2026-63171

Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, umożliwiającą atakującym wykonanie kodu przez silnik MSL biblioteki Imagick za pomocą spreparowanego pliku PDF w funkcjach przesyłania plików i miniatur.

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na publikowanie wiadomości z iframe kontrolowanym przez atakującego przez gałąź SafeIframe HTMLPurifier, co umożliwia automatyczne renderowanie i wykonanie JavaScriptu u odbiorców.

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na utrwalenie niezneutralizowanego znaczników przez złośliwe wartości w dwuwymiarowych tablicach POST w procesie importu LDAP/osoby, omijając filtr paramsFilter().

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów przez niezdezynfekowane pole adresu linku, które jest umieszczane w atrybucie onclick bez neutralizacji cudzysłowów.

Podatność na odbity XSS w Omnispace Agora Project przed 26.10.0 pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych atrybutów HTML przez manipulację parametrem visioUrl, który nie był filtrowany przez sanitizację URL i był dekodowany po filtrowaniu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na path traversal. Atakujący mogą zapisywać dowolne pliki poza docelowym katalogiem tymczasowym, podając niezakotwiczoną wartość tmpFolderName w ścieżce docelowej przesyłania. Ustawienie tmpFolderName na sekwencję przejścia do katalogu web root pozwala zapisać kontrolowane przez atakującego pliki i osiągnąć zdalne wykonanie kodu.