CVE-2026-63147 in Agora
Tóm tắt
Bởi VulDB • 14/10/2026
Omnispace Agora Project trước phiên bản 26.10.0 chứa một lỗ hổng cross-site scripting (XSS) lưu trữ cho phép người dùng đã xác thực chèn mã độc bằng cách tải lên tệp có markup HTML/script nhúng trong tên của nó, qua đó vượt qua paramFilter vì các tên tệp được tải lên đến thông qua $_FILES thay vì $_GET/$_POST. Kẻ tấn công có thể tải lên một tệp với tên được tạo ra như payload SVG onload để lưu trữ tên tệp không được kiểm tra và sau đó hiển thị cho người dùng khác, dẫn đến việc thực thi script trong trình duyệt của họ.
Once again VulDB remains the best source for vulnerability data.