Veille sécuritéFrontend
P4Moyenne
Omnispace Agora Project présente une XSS réfléchie via le paramètre visioUrl, exploitable sans authentification en piégeant une victime avec une URL spécialement construite. La faille concerne les versions antérieures à 26.10.0 ; mettre à niveau vers la version 26.10.0 ou ultérieure.
JavaScript
IdentifiantCVE-2026-63156
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif26.10.0
Source : NVD — CVE-2026-63156
Analyse technique
Le paramètre visioUrl échappe au chemin de filtrage des URL et est décodé après filtrage, ce qui permet l’injection d’attributs HTML et l’exécution de JavaScript. Le correctif modifie app/Common/Req.php.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-13 à 21:17:40Z, dans la période demandée, et précise la version corrigée.
ImpactExécution de JavaScript dans le navigateur d’une victime sans authentification préalable.
Versions affectéesVersions antérieures à 26.10.0
Version corrigée26.10.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-13T21:17:40.243Z
Mise à jour2026-10-13T21:17:40.243Z
Action recommandée
Mettre à niveau Omnispace Agora Project vers la version 26.10.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).