PT-2026-113377

CVE-2026-63169

Publicado

2026-10-13

Atualizado

2026-10-17

Descrição por

CVSS 3.1

6.4

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.0

Description Um problema de cross-site scripting armazenado existe que permite que usuários autenticados postem mensagens contendo iframes controlados por atacantes através do ramo HTMLPurifier SafeIframe do mensageiro. Isso permite que atacantes enviem iframes maliciosos que são armazenados e renderizados automaticamente para outros membros do canal, facilitando downloads drive-by de clique zero e a execução de JavaScript emoldurado nos navegadores dos destinatários.

Recommendations Atualize para a versão 26.10.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Geoffrey Robert

Valentin Holubec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')