CVE-2026-63147 in Agora
要約
〜によって VulDB • 2026年10月14日
26.10.0 以前の Omnispace Agora Project には、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。攻撃者はファイル名の HTML/スクリプトマークアップを埋め込んだファイルをアップロードすることで認証済みユーザーとして悪意のあるスクリプトを注入でき、これはアップロードされたファイル名が $_GET や $_POST ではなく $_FILES を介して渡されるため paramFilter を回避します。攻撃者は SVG の onload ペイロードのような不正な名前を持つファイルをアップロードし、サニタイズされていないファイル名を保存させて後で他のユーザーにレンダリングさせることで、そのブラウザ上でスクリプトを実行することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.