Omnispace Agora-Project: Path Traversal beim Datei-Upload über tmpFolderName
Zusammenfassung
Omnispace Agora-Project vor 26.10.0 enthält eine Path-Traversal-Schwachstelle in der Verarbeitung von Datei-Uploads. Ein nicht verankerter tmpFolderName-Wert im Zielpfad des Uploads erlaubt einem Angreifer, Dateien ausserhalb des vorgesehenen temporären Verzeichnisses zu schreiben, beispielsweise im Web-Root. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann so angreifergesteuerte Dateien ablegen und unter Umständen Remote Code Execution erreichen. Der CVSS-v4.0-Basiswert beträgt 8.7 (Hoch).
Betroffen
- Omnispace Agora-Project Versionen 0 bis vor 26.10.0
Behoben in
- Version 26.10.0 oder neuer (Herstellerversion 26.10 auf GitHub)
Umgehung
- Kein Workaround des Herstellers bekannt. Das Aktualisieren ist die Behebung.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf vertrauenswürdige Netzwerke oder VPN beschränken.
- Prüfen, ob die Selbstregistrierung aktiviert ist, und nicht benötigte Konten entfernen.
- Prüfen, dass Upload-Ordner keine Skripte ausführen können.
- Web-zugängliche Ordner auf unerwartete Dateien prüfen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no.
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Alle Agora-Project-Instanzen identifizieren, insbesondere aus dem Internet erreichbare und Shared-Hosting-Installationen.
- Auf Version 26.10.0 oder neuer aktualisieren, dabei die aktuelle 26.10.x-Version von der GitHub-Releaseseite des Herstellers verwenden.
- Prüfen, ob der Installer auf einer Installation noch vorhanden ist, da eine separate kritische Installer-Schwachstelle (CVE-2026-63146) gemeldet wurde.
- Web-zugängliche Upload-Ordner und das Dateisystem auf unerwartete oder Skriptdateien prüfen.
- Webserver-Logs auf ungewöhnliche Upload-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Agora-Project GitHub release 26.10 github.com
- VulnCheck advisory: Omnispace Agora Project path traversal via tmpFolderName www.vulncheck.com
- OSV: CVE-2026-63162 osv.dev
- Agora Project vendor website www.agora-project.net
- Strix: CVE-2026-63162 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.