CVE-2026-63147 in Agora
요약
\~에 의해 VulDB • 2026. 10. 13.
26.10.0 이전 버전의 Omnispace Agora Project에는 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 공격자가 파일 이름에 HTML/스크립트 마크업을 포함하는 파일을 업로드하여 인증된 사용자가 악성 스크립트를 주입할 수 있게 합니다. 이는 업로드된 파일의 이름이 $_GET 또는 $_POST가 아닌 $_FILES를 통해 전달되므로 paramFilter을 우회합니다. 공격자는 SVG onload 페이로드와 같이 조작된 이름을 가진 파일을 업로드하여 정제되지 않은 파일명이 저장되고 나중에 다른 사용자에게 렌더링되도록 하여, 그들의 브라우저에서 스크립트 실행을 유도할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.