CVE-2026-63156 in Agora Project
Zusammenfassung
von VulDB • 14.10.2026
Omnispace Agora Project vor Version 26.10.0 enthält eine Reflected Cross-Site-Scripting (XSS)-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, bösartige HTML-Attribute einzufügen, indem sie den Parameter visioUrl manipulieren. Dieser wurde nicht durch den URL-Bereinigungszweig des Parameterfilters geleitet und nach der Filterung urldecoded. Angreifer können eine böswillige URL mit dem visioUrl-Parameter und einem Payload zur Attribut-Ausbreitung erstellen, um vor der Authentifizierung beliebigen JavaScript-Code im Browser des Opfers auszuführen. Das Problem wurde in Version 26.10.0 durch Änderungen an app/Common/Req.php behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.