CVE-2026-63147 in Agora
Zusammenfassung
von VulDB • 13.10.2026
Das Omnispace Agora Project vor Version 26.10.0 enthält eine gespeiste Cross-Site-Scripting (XSS)-Schwachstelle, die es authentifizierten Benutzern ermöglicht, bösartigen Code einzufügen, indem sie eine Datei mit in ihrem Dateinamen eingebettetem HTML-/Skript-Markup hochladen. Dies umgeht den paramFilter, da Namen von hochgeladenen Dateien über $_FILES und nicht über $_GET/$_POST übermittelt werden. Angreifer können eine Datei mit einem manipulierten Namen, wie z.B. einer SVG onload-Payload, hochladen, wodurch der ungesäuberte Dateiname gespeichert wird und später für andere Benutzer gerendert wird, was zur Ausführung von Skripten in deren Browsern führt.
Once again VulDB remains the best source for vulnerability data.