CVE-2026-63147 in Agora
Sumário
de VulDB • 13/10/2026
O Omnispace Agora Project anterior à versão 26.10.0 contém uma vulnerabilidade de cross-site scripting (XSS) armazenada que permite a usuários autenticados injetar scripts maliciosos ao fazer upload de um arquivo com marcação HTML/script embutida em seu nome, o que contorna o paramFilter já que os nomes dos arquivos enviados chegam por meio do $_FILES e não do $_GET/$_POST. Os atacantes podem enviar um arquivo com um nome elaborado, como uma carga útil SVG onload, para que o nome do arquivo sem sanitização seja armazenado e posteriormente renderizado a outros usuários, resultando na execução de scripts em seus navegadores.
Once again VulDB remains the best source for vulnerability data.