Omnispace Agora Project: Code-Injection in config.inc.php führt zu Remote Code Execution
Zusammenfassung
Omnispace Agora Project vor 26.10.0 enthält im Installationsprozess eine Code-Injection-Schwachstelle. Nicht maskierte Werte werden in die Datei config.inc.php geschrieben, und eine SQL Injection, die durch PDO Emulated Prepares mit gestapelten Abfragen ermöglicht wird, erlaubt es einem Angreifer, den Installer erneut auszulösen. Ein nicht authentifizierter Angreifer kann so beliebigen PHP-Code einschleusen und auf dem darunterliegenden Server ausführen. Das Risiko ist kritisch für Instanzen, die aus dem Internet erreichbar sind und deren Installationspfad zugänglich ist.
Betroffen
- Omnispace Agora Project Versionen vor 26.10.0
Behoben in
- 26.10.0 oder neuer; empfohlen wird die neueste 26.10.x-Version
Umgehung
- Kein Workaround des Herstellers; eine korrigierte Version ist verfügbar.
- Übergangsmassnahme: Zugriff auf den Installationspfad am Webserver einschränken und den Installer nach der Einrichtung entfernen oder sperren.
- Übergangsmassnahme: Schreibrechte des Webservers auf config.inc.php einschränken.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, automatisierbar ja, technische Auswirkung total.
- Zum Zeitpunkt der Recherche wurden keine Hinweise auf aktive Ausnutzung oder öffentlichen Exploit-Code gefunden.
Unsere Empfehlung
- Alle Agora-Project-Instanzen auf 26.10.0 oder neuer aktualisieren, vorzugsweise auf die neueste 26.10.x-Version.
- Prüfen, ob der Installer aus dem Internet erreichbar ist, und den Zugriff einschränken oder den Installer entfernen.
- config.inc.php auf unerwarteten PHP-Code prüfen und Webserver-Logs auf unerwartete Installer-Aktivitäten kontrollieren.
- Bei vermuteter Kompromittierung Datenbank-Zugangsdaten und weitere vom Programm verwendete Geheimnisse rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: Omnispace Agora Project PHP code injection via config.inc.php www.vulncheck.com
- Agora Project GitHub release 26.10 github.com
- Ionix threat center: CVE-2026-63146 www.ionix.io
- OSV: CVE-2026-63146 osv.dev
- Vulners: CVE-2026-63146 vulners.com
- CVE record (CNA VulnCheck, cvelistV5) raw.githubusercontent.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.