CVE-2026-63165

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.0

Description Um problema de injeção de SQL existe na funcionalidade de calendário. Um invasor pode injetar SQL malicioso manipulando o parâmetro sortEvents, que é concatenado na cláusula ORDER BY sem sanitização no arquivo app/ModCalendar/CtrlCalendar.php. Esta falha pode ser explorada usando técnicas baseadas em erro, como payloads extractvalue, para recuperar informações do banco de dados, incluindo dados de versão, do sistema.

Recommendations Atualize para a versão 26.10.0 ou posterior. Como mitigação temporária, restrinja o acesso à funcionalidade de calendário ou evite usar o parâmetro sortEvents até que a atualização seja aplicada.