Résumé
généré automatiquement à partir des données NVDOmnispace Agora Project, avant la version 26.10.0, est affecté par une injection de code : des valeurs contrôlées par l'attaquant sont écrites sans échappement dans le fichier config.inc.php lors de l'installation, via File::updateConfigFile() et DbInstall::dbControl(). Une injection SQL, rendue possible par PDO::ATTR_EMULATE_PREPARES qui autorise les requêtes empilées, permet de relancer l'installeur et d'injecter du code PHP arbitraire, soit une exécution de code à distance sans authentification. Sévérité critique, score CVSS v3.1 de 9.8 (CWE-94).
Description NVD (anglais)
Omnispace Agora Project before 26.10.0 contains a code injection vulnerability where unescaped, attacker-controlled values are written into the config.inc.php configuration file during installation through File::updateConfigFile() and DbInstall::dbControl(), combined with an SQL injection issue enabled by PDO::ATTR_EMULATE_PREPARES supporting stacked queries. Attackers can exploit the SQL injection to re-trigger the installer and inject arbitrary PHP code into config.inc.php, achieving unauthenticated remote code execution on the underlying system.
EPSS · FIRST.org
0,66 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 50 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 13 oct. 2026
- Mis à jour
- 17 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-94
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.