Omnispace Agora Project: Second-Order SQL-Injection über _idCategoryFilter
Zusammenfassung
Omnispace Agora Project, eine Open-Source-Plattform für die Teamzusammenarbeit, enthält eine Second-Order SQL-Injection (CWE-89) im Parameter _idCategoryFilter. Ein authentifizierter Benutzer kann einen manipulierten Filterwert in der Session speichern, der später ohne Parametrisierung in eine SQL-Abfrage in app/Common/MdlCategory.php eingefügt wird, sobald der Filter angewendet wird. Ein erfolgreicher Angriff kann zu unberechtigtem Lesen, Ändern oder Löschen von Datenbankinhalten führen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, für den Angriff ist keine Benutzerinteraktion erforderlich.
Betroffen
- Omnispace Agora Project Versionen vor 26.10.0 (betroffener Bereich laut CNA-Eintrag: 0 bis unter 26.10.0)
Behoben in
- Version 26.10.0 oder neuer (der Release-Tag 26.10 des Herstellers ist referenziert; neuere 26.10.x-Versionen sind verfügbar, die aktuelle Version auf der GitHub-Releases-Seite prüfen)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Kein öffentlicher Proof of Concept gefunden; Status wird als unbekannt behandelt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Laut einem Aggregator nicht in der CISA KEV gelistet.
Unsere Empfehlung
- Alle Agora-Project-Instanzen und deren Versionen erfassen, auch jene, die über Installer im Hosting-Panel installiert wurden.
- Zuerst aus dem Internet erreichbare Instanzen, danach interne Instanzen auf die neueste 26.10.x-Version aktualisieren.
- Konten auf vertrauenswürdige Benutzer beschränken und prüfen, ob Selbstregistrierung oder externe Gastkonten aktiviert sind.
- Das Datenbankkonto der Anwendung nach dem Least-Privilege-Prinzip absichern.
- Logs auf ungewöhnliche Filterwerte prüfen.
- Die übrigen CVEs im selben Release, von denen einige schwerwiegender sind, ebenfalls beheben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub release 26.10 github.com
- VulnCheck advisory www.vulncheck.com
- Agora Project website www.agora-project.net
- OSV entry CVE-2026-63152 osv.dev
- Softaculous update to 26.10.0 www.softaculous.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.