CVE-2026-63165 in Agora Project
要約
〜によって VulDB • 2026年10月13日
26.10.0 以前の Omnispace Agora Project には、calendar 機能における SQL インジェクションの脆弱性が存在します。攻撃者は app/ModCalendar/CtrlCalendar.php でサニタイズ処理されずに ORDER BY 句に連結される sortEvents パラメータを操作することで、悪意のある SQL を注入できます。攻撃者は extractvalue ペイロードなどのエラーベースの手法を使用して、基盤システムからバージョン情報を含むデータベース情報を抽出することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.