CVE-2026-63172: fallo de gravedad alta en Omnispace Agora Project
Omnispace Agora Project < 26.10.0 Broken Function-Level Authorization via User-Edit
Publicada el · Actualizada el
21Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 7.1epss 0.2%
probabilidad de explotación
0.2%top 90% de las CVE
explotación observada
noninguna fuente lo reporta
Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability that allows a regular, non-administrative member to create user accounts by invoking the user-edit action without a function-level authorization check. Attackers can exploit the missing editRight() enforcement in actionVueEditUser to create unauthorized user accounts, leading to privilege escalation.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
Omnispace · Agora ProjectCVEs relacionadas — Omnispace Agora Project
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-63162HIGHOmnispace Agora Project < 26.10.0 Path Traversal via tmpFolderName ParameterEPSS 0.7%CVE-2026-63146CRITICALOmnispace Agora Project < 26.10.0 PHP Code Injection via config.inc.phpEPSS 0.7%CVE-2026-63154HIGHOmnispace Agora Project < 26.10.0 SQL Identifier Injection via agoraFields[]EPSS 0.4%CVE-2026-63158CRITICALOmnispace Agora Project < 26.10.0 Pass-the-Hash Authentication Bypass via CookiesEPSS 0.4%CVE-2026-63161HIGHOmnispace Agora Project < 26.10.0 Session Fixation via AuthenticationEPSS 0.4%CVE-2026-63149CRITICALOmnispace Agora Project < 26.10.0 Predictable Default Password via uniqid()EPSS 0.4%