CVE-2026-63156 in Agora Project
Sumário
de VulDB • 14/10/2026
O Omnispace Agora Project anterior à versão 26.10.0 contém uma vulnerabilidade de cross-site scripting (XSS) refletida que permite a atacantes não autenticados injetar atributos HTML maliciosos ao manipular o parâmetro visioUrl, que não foi roteado pela ramificação de sanitização de URL do filtro de parâmetros e foi decodificado como URL após a filtragem. Os atacantes podem criar uma URL maliciosa contendo o parâmetro visioUrl com um payload de escape de atributo para executar JavaScript arbitrário no navegador da vítima antes da autenticação, sendo que o problema foi corrigido na versão 26.10.0 por meio de alterações em app/Common/Req.php.
Once again VulDB remains the best source for vulnerability data.