Omnispace Agora-Project: Session Fixation nach der Authentifizierung
Zusammenfassung
Omnispace Agora-Project vor 26.10.0 erneuert die Session-ID nach einer erfolgreichen Anmeldung nicht. Ein entfernter Angreifer, der vor der Anmeldung eine bekannte Session-ID im Browser eines Opfers platziert, kann nach der Anmeldung des Opfers dessen authentifizierte Sitzung übernehmen. Der CVSS-v4-Basiswert beträgt 8.6, und für die Ausnutzung muss das Opfer eine Handlung ausführen, etwa sich mit der präparierten Session anmelden.
Betroffen
- Omnispace Agora-Project Versionen 0 bis vor 26.10.0
Behoben in
- Version 26.10.0 (GitHub-Release vom 1. Oktober). Es existieren spätere 26.10.x-Builds; verwenden Sie das neueste 26.10.x-Release.
- Die Release Notes erwähnen die Session-Korrektur nicht explizit, daher konnte die konkrete Codeänderung nicht anhand des Herstellertextes bestätigt werden.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround.
- Bis zur Behebung den Zugriff auf die Instanz einschränken (VPN oder IP-Allowlist).
- Nach dem Upgrade alle bestehenden Sitzungen beenden, damit Session-IDs aus der Zeit vor der Anmeldung nicht mehr gültig sind.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
Unsere Empfehlung
- Auf das neueste 26.10.x-Release aktualisieren, mit Priorität für aus dem Internet erreichbare Instanzen. Andere CVEs im selben Release-Paket sind gravierender.
- Nach dem Upgrade alle aktiven Sitzungen beenden.
- Prüfen, ob die Instanz aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
- 2FA als zusätzliche Massnahme aktivieren, wobei zu beachten ist, dass 2FA dieses Problem allein nicht behebt.
- Anmeldungen auf ungewöhnliche Sitzungsaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub release 26.10 github.com
- VulnCheck advisory: Session fixation via authentication www.vulncheck.com
- OSV entry CVE-2026-63161 osv.dev
- Vulners CVE-2026-63161 vulners.com
- Strix CVE-2026-63161 www.strix.ai
- Softaculous: Agora Project 26.10.0 update www.softaculous.com
- Softaculous: Agora Project 26.10.5 update www.softaculous.com
- Agora Project website www.agora-project.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.