Omnispace Agora Project: Fehlende Zugriffskontrolle in setAffectations()
Zusammenfassung
Omnispace Agora Project in Versionen vor 26.10.0 enthält eine fehlende Zugriffskontrolle in der Funktion setAffectations(). Ein authentifizierter Benutzer kann Zugriffsrechte für einen Zielbereich eintragen, den er nicht kontrolliert, und so Zugriffe auf Bereiche ausserhalb seiner Reichweite zuweisen. Dadurch wird die Mandantentrennung aufgehoben und unberechtigter Zugriff auf eingeschränkte Bereiche kann gewährt werden.
Betroffen
- Omnispace Agora Project, alle Versionen ab 0 bis einschliesslich vor 26.10.0
Behoben in
- Version 26.10.0 oder neuer (in der CVE-Meldung genannte korrigierte Version)
- Die geprüfte Auszug der Upstream-Release-Seite bestätigt die Korrektur nicht ausdrücklich; gegen das aktuelle Upstream-Release prüfen
Umgehung
- Unbekannt. In den Quellen wurde keine Workaround des Herstellers gefunden.
- Bis zum Update die Kontoerstellung einschränken und bestehende Zugriffsrechte auf Bereiche manuell prüfen (eigene Empfehlung, nicht aus einer Quelle)
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept in den geprüften Quellen gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.
Unsere Empfehlung
- Alle Agora-Project-Instanzen identifizieren und die laufende Version bestätigen.
- Auf Version 26.10.0 oder neuer aktualisieren, vorzugsweise auf das aktuelle Upstream-Release 26.10.x.
- Auf Instanzen mit mehreren Mandanten die Bereichsmitgliedschaften und Zugriffsrechte überprüfen.
- Bis zur Korrektur die Kontoerstellung einschränken und auf unerwartete Änderungen der Zugriffsrechte achten.
- Falls ein Hosting-Anbieter die Instanz betreibt, nach dem Patchstand fragen.
- Auch die verwandten Meldungen CVE-2026-63174 und CVE-2026-63163 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: Omnispace Agora Project broken access control via setAffectations() www.vulncheck.com
- Agora Project release 26.10 (GitHub) github.com
- Agora Project website www.agora-project.net
- OSV entry CVE-2026-63153 osv.dev
- Vulners CVE record CVE-2026-63153 vulners.com
- Softaculous: Agora Project updated to 26.10.0 www.softaculous.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.