Omnispace Agora Project: Unsichere Speicherung von Remember-me-Token
Zusammenfassung
Omnispace Agora Project Versionen vor 26.10.0 speichern das persistente Remember-me-Token unverschlüsselt auf dem Server. Der gespeicherte Wert ist identisch mit dem Bearer-Credential im Cookie des Benutzers. Ein Angreifer, der an das gespeicherte Token gelangt, etwa über einen Datenbank-Dump oder ein Backup, kann es wiedergeben und sich ohne Passwort als Opfer anmelden.
Betroffen
- Omnispace Agora Project, alle Versionen vor 26.10.0
Behoben in
- Version 26.10.0 oder neuer (gemäss OSV und CVE-Bereich). Die Release Notes von 26.10 erwähnen diese Korrektur nicht, daher ist der genaue Fix-Commit unbestätigt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Zugriff auf Datenbank-Dumps und Backups einschränken.
- Nach dem Upgrade alle Benutzer abmelden und die Tabelle der Remember-me-Token leeren, da bestehende Token gültig bleiben könnten (unbestätigt).
- CVE-2026-63158 (Umgehung der Authentifizierung über Legacy-Cookies) im selben Update beheben.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- NVD-Status: Deferred.
Unsere Empfehlung
- Auf Agora Project 26.10.0 oder neuer aktualisieren.
- Bestehende Remember-me-Token entfernen oder ungültig machen und nach dem Upgrade alle Benutzer abmelden.
- Datenbank-Dumps und Backups einschränken und verschlüsseln.
- Prüfen, ob die Plattform aus dem Internet erreichbar ist, und sie bei Bedarf priorisieren.
- Anmeldungen auf ungewöhnliche Sitzungen von neuen Standorten oder Geräten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub release 26.10 (Agora Project) github.com
- Agora Project website www.agora-project.net
- VulnCheck advisory: Insecure remember-me token storage www.vulncheck.com
- OSV record CVE-2026-63160 osv.dev
- Vulners CVE list entry CVE-2026-63160 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.