Omnispace Agora Project: SQL-Identifier-Injection ermöglicht Rechteausweitung
Zusammenfassung
Agora Project vor 26.10.0, eine Open-Source-Workspace-Anwendung, die als Omnispace angeboten wird, enthält eine SQL-Identifier-Injection im Benutzerimport. Ein Space-Administrator kann vom Aufrufer kontrollierte agoraFields[]-Namen als ungeprüfte SQL-Spaltenbezeichner übergeben, auch privilegierte Namen wie generalAdmin, um administrative Flags zu setzen. Dadurch kann er sich Generaladministrator-Rechte verschaffen. Der Angreifer benötigt Netzwerkzugriff und ein Space-Administrator-Konto.
Betroffen
- Omnispace Agora Project Versionen vor 26.10.0 (Bereich laut CNA: 0 bis < 26.10.0)
Behoben in
- Auf 26.10.0 oder neuer aktualisieren. OSV nennt den Fix-Commit 92320bc.
- Die Versionshinweise des Herstellers zu 26.10 nennen diesen Fix nicht; die vollständigen Hinweise vor einer Entscheidung prüfen.
Umgehung
Unbekannt. Die Quellen nennen keinen Workaround ausser dem Update.
- Übergangsmassnahme (nicht aus einer Quelle): Anzahl der Space-Administrator-Konten begrenzen und einschränken, wer Benutzerimporte durchführen kann, bis das Update eingespielt ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Agora Project auf 26.10.0 oder neuer aktualisieren.
- Space-Administrator-Konten prüfen und nicht benötigte Rechte entfernen.
- Benutzerliste auf unerwartete Generaladministrator-Konten prüfen.
- Das Update gilt für alle Agora-CVEs aus dieser Veröffentlichung; Instanzen mit Internetzugriff priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: Omnispace Agora Project SQL identifier injection via agoraFields www.vulncheck.com
- OSV: CVE-2026-63154 osv.dev
- GitHub release 26.10 (xech/agora-project) github.com
- Agora Project website www.agora-project.net
- Vulners: CVE-2026-63154 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.