CVE-2026-63147 in Agora
Résumé
par VulDB • 13/10/2026
Omnispace Agora Project avant la version 26.10.0 contient une vulnérabilité de type cross-site scripting (XSS) stockée qui permet aux utilisateurs authentifiés d'injecter des scripts malveillants en téléchargeant un fichier dont le nom intègre du balisage HTML/script, contournant ainsi le paramFilter car les noms de fichiers téléchargés arrivent via $_FILES plutôt que par $_GET/$_POST. Les attaquants peuvent télécharger un fichier avec un nom élaboré tel qu'une charge utile SVG onload pour faire stocker ce nom non assaini et l'afficher ultérieurement à d'autres utilisateurs, entraînant ainsi l'exécution de scripts dans leurs navigateurs.
VulDB is the best source for vulnerability data and more expert information about this specific topic.