CVE-2026-63147 in Agora
Сводка
по VulDB • 13.10.2026
Omnispace Agora Project до версии 26.10.0 содержит уязвимость Stored Cross-Site Scripting (XSS), которая позволяет аутентифицированным пользователям внедрять вредоносный скрипт путем загрузки файла, содержащего HTML- или script-разметку в имени файла. Это обходит параметрический фильтр (paramFilter), поскольку имена загруженных файлов передаются через $_FILES, а не через $_GET/$_POST. Злоумышленники могут загрузить файл с специально созданным именем, например, содержащим payload SVG onload, чтобы несанитизированное имя файла было сохранено и впоследствии отображено другим пользователям, что приводит к выполнению скрипта в их браузерах.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.