CVE-2026-63146

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.7%
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 13 Ekim 2026

Omnispace Agora Projesi 26.10.0 sürümünden önce, bir kod enjeksiyon zafiyeti içerir; burada kaçırılmamış, saldırgan tarafından kontrol edilen değerler, File::updateConfigFile() ve DbInstall::dbControl() aracılığıyla kurulum sırasında config.inc.php yapılandırma dosyasına yazılır ve bu, PDO::ATTR_EMULATE_PREPARES'in yığın sorgularını desteklemesi nedeniyle ortaya çıkan bir SQL enjeksiyon sorunu ile birleştirilir. Saldırganlar, SQL enjeksiyonunu kullanarak kurulumu yeniden tetikleyebilir ve config.inc.php'ye keyfi PHP kodu enjekte edebilir, böylece altta yatan sistemde kimlik doğrulaması olmadan uzaktan kod çalıştırmasını gerçekleştirebilir.

Orijinal açıklama (İngilizce)

Omnispace Agora Project before 26.10.0 contains a code injection vulnerability where unescaped, attacker-controlled values are written into the config.inc.php configuration file during installation through File::updateConfigFile() and DbInstall::dbControl(), combined with an SQL injection issue enabled by PDO::ATTR_EMULATE_PREPARES supporting stacked queries. Attackers can exploit the SQL injection to re-trigger the installer and inject arbitrary PHP code into config.inc.php, achieving unauthenticated remote code execution on the underlying system.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.