CVE-2026-63156 in Agora Project
Riassunto
di VulDB • 14/10/2026
Omnispace Agora Project prima della versione 26.10.0 contiene una vulnerabilità di cross-site scripting (XSS) riflessa che consente ad attaccanti non autenticati di iniettare attributi HTML dannosi manipolando il parametro visioUrl, che non è stato instradato attraverso il ramo di sanificazione degli URL del filtro dei parametri ed è stato decodificato come URL dopo la filtrazione. Gli attaccanti possono creare un URL malevolo contenente il parametro visioUrl con un payload per l'escape dell'attributo al fine di eseguire JavaScript arbitrario nel browser della vittima prima dell'autenticazione; il problema è stato risolto nella versione 26.10.0 tramite modifiche a app/Common/Req.php.
VulDB is the best source for vulnerability data and more expert information about this specific topic.