Omnispace Agora Project: SQL-Injection über sortEvents-Parameter im Kalender
Zusammenfassung
Omnispace Agora Project vor 26.10.0 enthält eine SQL-Injection-Schwachstelle im Kalendermodul. Der Parameter sortEvents wird ohne Bereinigung in eine ORDER-BY-Klausel in app/ModCalendar/CtrlCalendar.php eingefügt. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff kann fehlerbasierte Techniken wie extractvalue-Payloads nutzen, um Datenbankinformationen, einschliesslich Versionsdaten, auszulesen.
Betroffen
- Omnispace Agora Project Versionen 0 bis vor 26.10.0 (gemäss CVE-Eintrag)
Behoben in
- Version 26.10.0 (gemäss CVE-Eintrag und Release-Tag 26.10 des Herstellers)
- Eine nicht verifizierte Drittquelle nennt 26.10.1; aktuelle Version auf der GitHub-Releases-Seite prüfen
Umgehung
Unbekannt.
Ausnutzung
- Fehlerbasierte SQL-Injection über den Parameter sortEvents; das Advisory beschreibt extractvalue-Payloads, die Datenbankversionsdaten offenlegen
- Erfordert Netzwerkzugriff und ein Konto mit niedrigen Rechten (PR:L), keine Benutzerinteraktion
- CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung
- In Drittquellen wird ein PoC-Eintrag erwähnt; hier nicht verifiziert
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Unbekannt.
Unsere Empfehlung
- Agora Project auf die aktuellste Version aktualisieren (mindestens 26.10.0)
- Bis zum Patch den Zugriff auf den Kalender auf vertrauenswürdige Benutzer beschränken und prüfen, ob die Instanz aus dem Internet erreichbar ist
- Datenbankkonto der Anwendung mit minimalen Rechten betreiben
- Webserver-Logs auf ungewöhnliche Werte im Sortierparameter des Kalenders prüfen
- Advisory und Release-Notes auf weitere Korrekturen im gleichen Release prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub release 26.10 (xech/agora-project) github.com
- VulnCheck advisory: SQL Injection via sortEvents Parameter www.vulncheck.com
- OSV: CVE-2026-63165 osv.dev
- Vulners: CVE-2026-63165 vulners.com
- Strix: CVE-2026-63165 www.strix.ai
- ThreatInt: CVE-2026-63165 cve.threatint.com
- Agora Project website www.agora-project.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.