CVE-2026-63158
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na obejście uwierzytelniania. Atakujący posiadający przechowywany hash hasła bcrypt użytkownika może uwierzytelnić się jako ten użytkownik bez znajomości faktycznego hasła, ponieważ mechanizm cookie AGORAP_LOG/AGORAP_PASS traktuje przechowywany hash jako bezpośrednio odtwarzalne poświadczenie bearer. Ustawienie tych cookies ze skradzionym hashem pozwala podszyć się pod dowolnego użytkownika, w tym administratora.
Ocena ryzyka
Podszycie się pod dowolnego użytkownika, w tym administratora, po uzyskaniu hasha hasła. Prowadzi to do pełnego nieautoryzowanego dostępu do aplikacji.
Rekomendacja
Zaktualizuj Omnispace Agora do wersji 26.10.0 lub nowszej. Wyeliminuj mechanizm cookie AGORAP_LOG/AGORAP_PASS oparty na przechowywanym hashu hasła.
Inne podatności w Omnispace Agora Project
Zobacz wszystkie- CVE-2025-67079Krytyczne
Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, umożliwiającą atakującym wykonanie kodu przez silnik MSL biblioteki Imagick za pomocą spreparowanego pliku PDF w funkcjach przesyłania plików i miniatur.
- CVE-2026-63171Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na wstrzyknięcie złośliwego skryptu przez opis kategorii forum zawierający podwójny cudzysłów, który przełamuje atrybut wartości HTML.
- CVE-2026-63169Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na publikowanie wiadomości z iframe kontrolowanym przez atakującego przez gałąź SafeIframe HTMLPurifier, co umożliwia automatyczne renderowanie i wykonanie JavaScriptu u odbiorców.
- CVE-2026-63168Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na utrwalenie niezneutralizowanego znaczników przez złośliwe wartości w dwuwymiarowych tablicach POST w procesie importu LDAP/osoby, omijając filtr paramsFilter().
- CVE-2026-63157Średnie
Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów przez niezdezynfekowane pole adresu linku, które jest umieszczane w atrybucie onclick bez neutralizacji cudzysłowów.
- CVE-2026-63156Średnie
Podatność na odbity XSS w Omnispace Agora Project przed 26.10.0 pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych atrybutów HTML przez manipulację parametrem visioUrl, który nie był filtrowany przez sanitizację URL i był dekodowany po filtrowaniu.
- CVE-2026-63174Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.
- CVE-2026-63172Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.
- CVE-2026-63165Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.
- CVE-2026-63163Wysokie
W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Omnispace Agora Project before 26.10.0 contains an authentication bypass vulnerability that allows attackers possessing a user's stored bcrypt password hash to authenticate as that user without knowing the actual password, caused by the legacy AGORAP_LOG/AGORAP_PASS cookie mechanism treating the stored hash as a directly replayable bearer credential. Attackers can set the AGORAP_LOG/AGORAP_PASS cookies with a stolen password hash to impersonate any user, including administrators, and gain unauthorized access to the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS