CVE-2026-63174
WysokieCVSS 8.1Streszczenie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
Ocena ryzyka
Naruszenie izolacji między dzierżawcami i nieautoryzowana manipulacja przypisaniami użytkowników do przestrzeni. Może to prowadzić do eskalacji uprawnień i dostępu do danych innych organizacji.
Rekomendacja
Zaktualizuj Omnispace Agora do wersji 26.10.0 lub nowszej. Upewnij się, że w przepływie importu weryfikowane jest uprawnienie readRight() do docelowej przestrzeni.
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63165Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
- CVE-2026-63162Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na path traversal. Atakujący mogą zapisywać dowolne pliki poza docelowym katalogiem tymczasowym, podając niezakotwiczoną wartość tmpFolderName w ścieżce docelowej przesyłania. Ustawienie tmpFolderName na sekwencję przejścia do katalogu web root pozwala zapisać kontrolowane przez atakującego pliki i osiągnąć zdalne wykonanie kodu.
- CVE-2026-63161Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na session fixation. Zdalni atakujący mogą przejąć uwierzytelnione sesje, umieszczając znany identyfikator sesji w przeglądarce ofiary przed logowaniem. Aplikacja nie regeneruje identyfikatora sesji po pomyślnym uwierzytelnieniu, co pozwala uzyskać nieautoryzowany dostęp do sesji ofiary po jej zalogowaniu.
- CVE-2026-63160Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność polegająca na przechowywaniu trwałego tokenu remember-me w postaci dosłownej po stronie serwera. Przechowywana wartość jest identyczna z poświadczeniem bearer w pliku cookie użytkownika. Atakujący, który uzyska dostęp do przechowywanego tokenu, np. przez ujawnienie bazy danych lub kopii zapasowej, może odtworzyć wartość plaintext i uwierzytelnić się jako ofiara bez znajomości hasła.
- CVE-2026-63159Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na przewidywalny token resetowania hasła. Nieuwierzytelnieni atakujący mogą przejąć konta użytkowników, obliczając token resetowania jako sha1(login.hasło), czyli wartość deterministyczną i wielokrotnego użytku. Atakujący mogą wyprowadzić lub złamać token na podstawie znanych lub zgadniętych kombinacji loginu i hasła, aby sfałszować żądania resetowania hasła i przejąć dowolne konta.
- CVE-2026-63158Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na obejście uwierzytelniania. Atakujący posiadający przechowywany hash hasła bcrypt użytkownika może uwierzytelnić się jako ten użytkownik bez znajomości faktycznego hasła, ponieważ mechanizm cookie AGORAP_LOG/AGORAP_PASS traktuje przechowywany hash jako bezpośrednio odtwarzalne poświadczenie bearer. Ustawienie tych cookies ze skradzionym hashem pozwala podszyć się pod dowolnego użytkownika, w tym administratora.
- CVE-2026-63154Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie identyfikatora SQL. Administrator przestrzeni może eskalować uprawnienia, podając kontrolowane przez wywołującego nazwy agoraFields[] jako niezwalidowane identyfikatory kolumn SQL podczas importu użytkowników. Atakujący mogą wstrzyknąć uprzywilejowane nazwy kolumn, takie jak generalAdmin, lub użyć technik wstrzykiwania backtick, aby ustawić flagi administracyjne i uzyskać uprawnienia generalnego administratora.
- CVE-2026-63153Wysokie
Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na złamanie kontroli dostępu w funkcji setAffectations(). Uwierzytelniony atakujący może wstawiać rekordy uprawnień dostępu dla dowolnej przestrzeni wskazanej przez wywołującego, bez weryfikacji, czy ma do niej prawa.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability that allows a space administrator to assign users into spaces outside their authority because the spaceAffectList affectation was performed without verifying the caller's rights to the target space. Attackers can exploit the missing readRight() check in the import flow's join INSERT to break tenant isolation and manipulate user-space assignments across unauthorized spaces.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS