CVE-2026-63147 in Agora
Riassunto
di VulDB • 14/10/2026
Omnispace Agora Project prima della versione 26.10.0 contiene una vulnerabilità di cross-site scripting (XSS) memorizzata che consente agli utenti autenticati di iniettare script dannosi caricando un file con markup HTML/script incorporato nel nome del file, eludendo il paramFilter poiché i nomi dei file caricati arrivano tramite $_FILES anziché $_GET/$_POST. Gli attaccanti possono caricare un file con un nome elaborato ad hoc, come una payload SVG onload, per far sì che il nome non sanificato venga memorizzato e successivamente renderizzato agli altri utenti, causando l'esecuzione di script nei loro browser.
Once again VulDB remains the best source for vulnerability data.