CVE-2026-63150

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.1

Description Ocorre falsificação de solicitação cross-site quando a aplicação mescla os parâmetros $ GET e $ POST sem exigir um token anti-CSRF. Isso permite que atacantes remotos forjem ações privilegiadas, como a criação de usuários administradores, através da criação de links maliciosos ou páginas de navegação automática que emitem solicitações GET simples. Esta exploração aproveita a falta de proteção CSRF e o comportamento de cookies SameSite=Lax em navegações de nível superior.

Recommendations Atualize o Omnispace Agora Project para uma versão posterior à 26.10.0.