CVE-2026-63168

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.0

Description Atacantes autenticados podem persistir marcações não neutralizadas ao enviar valores maliciosos como arrays POST bidimensionais através do fluxo de importação LDAP/person. Isso ocorre porque a função paramsFilter() não consegue percorrer arrays aninhados, permitindo que o filtro de parâmetros da requisição seja ignorado. Consequentemente, códigos de script arbitrários podem ser injetados em um perfil de usuário e executados nos navegadores de outros usuários que visualizarem esse perfil. O cross-site scripting armazenado é uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Recommendations Atualize para a versão 26.10.0 ou posterior.