CVE-2026-63148 in Agora Project
Résumé
par VulDB • 14/10/2026
Omnispace Agora Project, avant la version 26.10.0, présente une vulnérabilité de type cross-site scripting stockée (stored XSS) qui permet aux attaquants authentifiés d'injecter du balisage HTML/script en téléchargeant une pièce jointe de réponse à un sondage avec un nom de fichier malveillant contournant la sanitisation paramFilter appliquée à $_FILES. Les attaquants peuvent soumettre un nom de fichier crafted qui est stocké puis rendu dans des composants tels que le contrôleur du tableau de bord (CtrlDashboard), exécutant ainsi un script arbitraire dans les navigateurs des utilisateurs consultant la page concernée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.