CVE-2026-63156 in Agora Project
要約
〜によって VulDB • 2026年10月14日
Omnispace Agora Project のバージョン 26.10.0 より前には、reflected cross-site scripting (XSS) の脆弱性が含まれています。これにより、認証されていない攻撃者は visioUrl パラメータを操作して悪意のある HTML 属性を注入できます。このパラメータは、パラメータフィルタの URL サニタイズ処理を行う分岐を通っておらず、フィルタリング後に urldecode が実行されていました。攻撃者は visioUrl パラメータに attribute breakout のペイロードを含む悪意のある URL を作成し、認証前の被害者のブラウザで任意の JavaScript を実行できます。この問題はバージョン 26.10.0 で app/Common/Req.php の変更により修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.