CVE-2026-63149
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na niebezpieczną losowość, umożliwiającą przewidzenie tymczasowych lub domyślnych haseł kont generowanych przez Txt::defaultPassword(). Funkcja opiera się na uniqid() w PHP, bazującym na czasie serwera w mikrosekundach.
Ocena ryzyka
Atakujący znający przybliżony czas utworzenia konta może obliczyć przewidywalne hasło i przejąć konto przed pierwszym logowaniem prawowitego użytkownika.
Rekomendacja
Zaktualizuj Omnispace Agora Project do wersji 26.10.0 lub nowszej. Zastąp generowanie haseł kryptograficznie bezpiecznym źródłem losowości (np. random_bytes()).
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2025-67079Krytyczne
Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, umożliwiającą atakującym wykonanie kodu przez silnik MSL biblioteki Imagick za pomocą spreparowanego pliku PDF w funkcjach przesyłania plików i miniatur.
- CVE-2026-63171Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na wstrzyknięcie złośliwego skryptu przez opis kategorii forum zawierający podwójny cudzysłów, który przełamuje atrybut wartości HTML.
- CVE-2026-63169Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na publikowanie wiadomości z iframe kontrolowanym przez atakującego przez gałąź SafeIframe HTMLPurifier, co umożliwia automatyczne renderowanie i wykonanie JavaScriptu u odbiorców.
- CVE-2026-63168Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na utrwalenie niezneutralizowanego znaczników przez złośliwe wartości w dwuwymiarowych tablicach POST w procesie importu LDAP/osoby, omijając filtr paramsFilter().
- CVE-2026-63157Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów przez niezdezynfekowane pole adresu linku, które jest umieszczane w atrybucie onclick bez neutralizacji cudzysłowów.
- CVE-2026-63156Średnie
Podatność na odbity XSS w Omnispace Agora Project przed 26.10.0 pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych atrybutów HTML przez manipulację parametrem visioUrl, który nie był filtrowany przez sanitizację URL i był dekodowany po filtrowaniu.
- CVE-2026-63174Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63165Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains an insecure randomness vulnerability that allows attackers to predict temporary or default account passwords generated by Txt::defaultPassword() using PHP's uniqid() function based on server time in microseconds. Attackers who observe or approximate the account creation time can compute the predictable password and take over the account before the legitimate user logs in.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS